🇰🇷 한글 설명
Windows용 Vim 9.1.1947 미만 버전에서 발생하는 제어되지 않은 검색 경로 취약점입니다. 사용자가 특정 파일을 편집하는 동안 cmd.exe를 통해 외부 명령어를 실행할 경우, 시스템 경로보다 현재 작업 디렉토리를 먼저 탐색하여 악성 실행 파일을 실행할 수 있습니다.
💡 쉬운 설명
Vim 편집기에서 명령어를 실행할 때, 컴퓨터가 원래 찾아야 할 프로그램 대신 현재 폴더에 숨겨진 가짜 프로그램을 먼저 실행해버리는 문제입니다. 해커가 만든 악성 파일이 폴더에 있다면 사용자가 모르는 사이에 실행될 수 있습니다.
🇺🇸 원문 (English)
Vim is an open source, command line text editor. Prior to version 9.1.1947, an uncontrolled search path vulnerability on Windows allows Vim to execute malicious executables placed in the current working directory for the current edited file. On Windows, when using cmd.exe as a shell, Vim resolves external commands by searching the current working directory before system paths. When Vim invokes tools such as findstr for :grep, external commands or filters via :!, or compiler/:make commands, it may inadvertently run a malicious executable present in the same directory as the file being edited. The issue affects Vim for Windows prior to version 9.1.1947.
📍 영향받는 시스템
Vim for Windows (version 9.1.1947 미만)
⚔️ 공격 벡터
악성 실행 파일이 포함된 디렉토리 내의 파일을 Vim으로 열고 :grep, :!, 또는 :make 등의 명령어를 실행함
🛡️ 대응 방법
Vim을 최신 버전인 9.1.1947 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.1.1947보다 낮은지 확인하십시오.
vim --version | head -n 1