🇰🇷 한글 설명
Kiro IDE의 GitLab Merge-Request 도우미에서 특별히 제작된 워크스페이스 폴더 이름을 처리할 때 명령어 주입이 발생할 수 있습니다. 악의적인 워크스페이스를 열 경우 공격자가 시스템에서 임의의 명령어를 실행할 수 있으며, 0.6.18 버전 이전에서 취약합니다.
💡 쉬운 설명
Kiro IDE 개발도구의 폴더명 처리 기능에서 악의적인 이름을 사용해 해커가 컴퓨터를 제어할 수 있는 보안 결함입니다. 피싱된 프로젝트 폴더를 열기만 해도 악성 명령어가 실행될 수 있습니다.
🇺🇸 원문 (English)
Processing specially crafted workspace folder names could allow for arbitrary command injection in the Kiro GitLab Merge-Request helper in Kiro IDE before version 0.6.18 when opening maliciously crafted workspaces.
To mitigate, users should update to the latest version.
📍 영향받는 시스템
Kiro IDE 0.6.18 미만 버전 (GitLab Merge-Request helper 기능)
⚔️ 공격 벡터
악의적으로 제작된 워크스페이스 폴더 이름을 포함한 프로젝트 열기를 통한 명령어 주입
🛡️ 대응 방법
Kiro IDE를 0.6.18 이상의 최신 버전으로 즉시 업데이트
🔧 검증 코드
출력된 버전이 0.6.18 이상이면 안전, 미만이면 업데이트 필요
kiro --version 2>/dev/null || find ~/.kiro -name 'version*' 2>/dev/null | xargs cat 2>/dev/null