🇰🇷 한글 설명
Whisper-node 1.1.1 이하 버전에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 filePath 또는 whisperOptions.language 값에 조작된 값을 입력하면, createCppCommand() 함수를 통해 생성된 명령어가 shelljs exec()를 통해 실행되어 Node.js 프로세스 권한으로 임의의 명령을 수행할 수 있습니다.
💡 쉬운 설명
프로그램이 입력받은 파일 경로를 처리하는 과정에서 악성 명령어를 함께 실행할 수 있는 보안 결함입니다. 해커가 특수 문자를 섞은 값을 보내면 컴퓨터가 해커의 명령을 그대로 수행하게 됩니다.
🇺🇸 원문 (English)
Whisper-node through 1.1.1 contains an OS command injection vulnerability that allows attackers to execute commands by supplying crafted filePath or whisperOptions.language values to whisper(). Attackers can inject shell metacharacters or $() substitution into the command string built by createCppCommand() and run via shelljs exec() to execute commands with Node.js process privileges.
📍 영향받는 시스템
Whisper-node 1.1.1 이하 모든 버전
⚔️ 공격 벡터
whisper() 함수 호출 시 filePath 또는 whisperOptions.language 매개변수에 쉘 메타문자나 $() 치환 문자를 삽입하여 공격
🛡️ 대응 방법
Whisper-node를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 입력값에 대한 엄격한 검증 로직을 추가하십시오.
🔧 검증 코드
출력된 결과에서 whisper-node의 버전이 1.1.1 이하인지 확인하십시오.