🇰🇷 한글 설명
Deno 런타임의 Windows 환경에서 배치 파일(.bat, .cmd 등) 실행 시 명령줄 주입(Command Line Injection) 공격이 발생할 수 있는 취약점입니다. Windows의 CreateProcess() 함수가 배치 파일 실행 시 cmd.exe를 암시적으로 호출하는 특성을 악용합니다. Deno 2.5.3 및 2.2.15 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
Windows에서 Deno를 통해 배치 파일을 실행할 때, 공격자가 몰래 추가 명령어를 끼워 넣어 실행할 수 있는 보안 약점이 발견되었습니다. 이로 인해 사용자의 컴퓨터에서 원치 않는 명령이 실행될 위험이 있습니다.
🇺🇸 원문 (English)
Deno is a JavaScript, TypeScript, and WebAssembly runtime. Versions prior to 2.5.3 and 2.2.15 are vulnerable to Command Line Injection attacks on Windows when batch files are executed. In Windows, ``CreateProcess()`` always implicitly spawns ``cmd.exe`` if a batch file (.bat, .cmd, etc.) is being executed even if the application does not specify it via the command line. This makes Deno vulnerable to a command injection attack on Windows. Versions 2.5.3 and 2.2.15 fix the issue.
📍 영향받는 시스템
Deno versions prior to 2.5.3 and 2.2.15 (Windows platform)
⚔️ 공격 벡터
Windows 환경에서 배치 파일 실행 시 cmd.exe의 암시적 호출을 이용한 명령줄 주입
🛡️ 대응 방법
Deno를 최신 버전인 2.5.3 또는 2.2.15 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Deno 버전이 2.5.3 또는 2.2.15보다 낮은지 확인하여 취약 여부를 판단합니다.
deno --version | grep -E 'deno [0-9]+\.[0-9]+\.[0-9]+'