🇰🇷 한글 설명
GitHub Copilot 1.372.0 버전에서 fetch_webpage의 file-handler URI 매개변수를 통해 사용자 승인 없이 워크스페이스 폴더 외부의 파일 시스템에 접근할 수 있는 취약점이 발견되었습니다. 이로 인해 간접 프롬프트 주입 공격이 발생할 경우 민감한 데이터가 외부로 유출될 위험이 있습니다.
💡 쉬운 설명
코딩 도우미인 GitHub Copilot이 허락 없이 컴퓨터의 다른 폴더에 있는 파일을 읽을 수 있는 보안 허점이 발견되었습니다. 해커가 교묘한 명령을 심어두면 사용자가 모르는 사이에 중요한 파일이 몰래 빠져나갈 수 있습니다.
🇺🇸 원문 (English)
GitHub Copilot 1.372.0 allows filesystem access outside of a workspace folder (without user approval) via a file-handler URI parameter to fetch_webpage. Therefore, exfiltration could occur if there is indirect prompt injection.
📍 영향받는 시스템
GitHub Copilot version 1.372.0 and below
⚔️ 공격 벡터
Indirect Prompt Injection을 통한 file-handler URI 매개변수 조작
🛡️ 대응 방법
GitHub Copilot을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
명령어 결과에 '1.372.0'이 포함되어 있다면 해당 취약점에 노출된 버전입니다.
gh copilot --version 2>/dev/null | grep -E '1.372.0'