🇰🇷 한글 설명
Mistral Vibe 3.0.3 이전 버전에는 신뢰되지 않은 저장소의 .git/config에 git filter 드라이버를 정의하여 명령을 실행할 수 있는 원격 코드 실행 취약점이 있습니다. --worktree 옵션으로 실행할 때 git worktree add가 신뢰 폴더 검사 이전에 .gitattributes를 적용하고 filter smudge, clean, process 명령을 실행하여, 공격자의 명령이 사용자 권한으로 실행됩니다.
💡 쉬운 설명
악의적인 저장소를 Mistral Vibe로 열면, 사용자가 눈치채지 못한 사이에 공격자가 심어 둔 명령이 실행될 수 있습니다. 이 문제는 3.0.3 이상 버전으로 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Mistral Vibe before 3.0.3 contains a remote code execution vulnerability that allows attackers to run commands by defining git filter drivers in an untrusted repository's .git/config. When started with --worktree, git worktree add applies .gitattributes and runs filter smudge, clean, or process commands before the trusted-folder check, executing attacker commands with user privileges.
📍 영향받는 시스템
Mistral Vibe 3.0.3 이전 버전 (--worktree 옵션 사용 환경)
⚔️ 공격 벡터
공격자가 악성 .git/config 및 .gitattributes를 포함한 저장소를 제공하고 사용자가 --worktree 옵션으로 실행하면 filter 명령이 자동 실행됨
🛡️ 대응 방법
Mistral Vibe를 3.0.3 이상 버전으로 업데이트하고, 신뢰되지 않은 저장소에서는 --worktree 옵션 사용을 피함
🔧 검증 코드
출력된 버전이 3.0.3 미만이면 취약하므로 업데이트가 필요하고, 3.0.3 이상이면 패치가 적용된 상태입니다. 버전 정보가 없으면 설치되지 않은 것입니다.
mistral --version 2>/dev/null || mistral-vibe --version 2>/dev/null || pip show mistral-vibe 2>/dev/null | grep -i version