🇰🇷 한글 설명
Windows 환경의 Deno 2.7.0부터 2.9.7 버전에서 node:child_process 모듈의 명령줄 인자 이스케이프 처리 오류로 인한 명령 주입 취약점이 발견되었습니다. 공격자는 쉘 옵션을 통해 신뢰할 수 없는 인자를 전달함으로써 Deno 프로세스 권한으로 임의의 OS 명령을 실행할 수 있습니다.
💡 쉬운 설명
Deno 프로그램이 윈도우 명령어를 처리할 때 특수 문자를 제대로 막지 못하는 결함이 있습니다. 이를 통해 해커가 사용자의 컴퓨터에서 몰래 악성 명령어를 실행할 수 있습니다.
🇺🇸 원문 (English)
Deno versions 2.7.0 through 2.9.7 on Windows contain a command injection vulnerability in node:child_process where shell arguments are escaped for the wrong shell type. Attackers can inject OS commands by passing untrusted arguments with the shell option, allowing arbitrary command execution with Deno process privileges.
📍 영향받는 시스템
Deno versions 2.7.0 through 2.9.7 on Windows
⚔️ 공격 벡터
shell 옵션을 사용하는 node:child_process 함수에 조작된 인자를 전달하여 OS 명령 주입
🛡️ 대응 방법
Deno를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.7.0에서 2.9.7 사이라면 해당 취약점에 노출된 상태입니다.
deno --version | grep -E 'deno [2][.][7-9][0-9]\.'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows