🇰🇷 한글 설명
Wiz Code와 Wiz (legacy) VS Code 확장 프로그램의 로컬 명령 인젝션 취약점입니다. 신뢰된 폴더에 위치한 악의적인 Dockerfile을 열고 수동 스캔을 실행하면 공격자가 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
VS Code의 Wiz 보안 검사 도구가 악의적인 파일을 안전한 파일로 착각하는 문제입니다. 신뢰된 폴더에 악성 파일을 숨겨두고 사용자가 검사하면 해킹이 가능합니다.
🇺🇸 원문 (English)
Wiz Code Visual Studio Code extension in versions 1.0.0 up to 1.5.3 and Wiz (legacy) Visual Studio Code extension in versions 0.13.0 up to 0.17.8 are vulnerable to local command injection if the user opens a maliciously crafted Dockerfile located in a path that has been marked as a "trusted folder" within Visual Studio Code, and initiates a manual scan of the file.
📍 영향받는 시스템
Wiz Code 1.0.0-1.5.3, Wiz (legacy) 0.13.0-0.17.8
⚔️ 공격 벡터
악의적인 Dockerfile을 'trusted folder'에 배치하고 사용자가 파일을 열어 수동 스캔을 실행하도록 유도
🛡️ 대응 방법
Wiz Code를 1.5.4 이상, Wiz (legacy)를 0.17.9 이상으로 업그레이드
🔧 검증 코드
설치된 확장 버전이 Wiz Code 1.5.3 이하 또는 Wiz (legacy) 0.17.8 이하이면 취약한 상태입니다.
code --list-extensions --show-versions 2>/dev/null | grep -i wiz