🇰🇷 한글 설명
Node.js 애플리케이션에서 Git 명령을 실행하는 simple-git 라이브러리가 사용하는 argv-parser 2.0.1 미만 버전에서 발생하는 취약점입니다. 공격자가 조작한 환경 변수 중 VISUAL 값이 적절히 검증되지 않고 누락되어, Git 작업 중 공격자가 지정한 임의의 에디터를 실행할 수 있습니다. 이 실행 파일은 Node.js 프로세스의 권한으로 실행됩니다.
💡 쉬운 설명
해커가 특수한 환경 설정을 통해 프로그램이 실행될 때 자신이 원하는 악성 프로그램을 몰래 실행하도록 만들 수 있는 보안 약점입니다. 이를 통해 해커는 사용자의 컴퓨터에서 권한을 탈취하거나 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
simple-git, an interface for running git commands in any node.js application, enables applications to execute Git operations from JavaScript. Prior to 2.0.1 of the argv-parser package, parseEnv omits VISUAL from GitEnvKeys, so prepareEnv drops the value before vulnerabilityCheck can classify it as allowUnsafeEditor. A consuming application that forwards attacker-influenced environment values can therefore allow Git to invoke an attacker-selected editor during operations such as commit amendment or interactive rebase when no higher-priority editor setting overrides VISUAL and Git's terminal prerequisites are met. The executable runs with the privileges of the Node.js process. This issue is fixed in argv-parser 2.0.1.
📍 영향받는 시스템
argv-parser version < 2.0.1 (simple-git 사용 환경)
⚔️ 공격 벡터
공격자가 제어 가능한 환경 변수(VISUAL)를 통해 Git 작업 시 임의의 실행 파일을 호출
🛡️ 대응 방법
argv-parser 패키지를 2.0.1 이상 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 argv-parser의 버전이 2.0.1 미만인지 확인