🇰🇷 한글 설명
Google Gemini CLI 및 run-gemini-cli GitHub Action의 컨테이너 런처에서 OS 명령 처리 미흡으로 인해 발생하는 취약점입니다. 공격자가 악의적으로 조작된 .gemini/.env 파일을 통해 헤드리스 CI 플랫폼에서 샌드박스를 우회하여 호스트 수준의 코드를 실행할 수 있습니다.
💡 쉬운 설명
특정 도구를 사용할 때 가짜 설정 파일을 끼워 넣으면, 해커가 컴퓨터에 몰래 명령을 내려 제어권을 뺏을 수 있는 문제입니다. 특히 자동화된 개발 환경(CI)에서 큰 위험이 될 수 있습니다.
🇺🇸 원문 (English)
Improper Neutralization used in an OS Command in the container launcher in Google Gemini CLI (versions prior to 0.39.1) and run-gemini-cli GitHub Action (versions prior to 0.1.22) on headless CI platforms allows an unprivileged attacker to achieve pre-sandbox host-level code execution a maliciously crafted .gemini/.env file.
📍 영향받는 시스템
Google Gemini CLI (0.39.1 미만 버전), run-gemini-cli GitHub Action (0.1.22 미만 버전)
⚔️ 공격 벡터
악의적으로 조작된 .gemini/.env 파일을 통한 OS 명령 주입
🛡️ 대응 방법
Google Gemini CLI를 0.39.1 이상으로, run-gemini-cli GitHub Action을 0.1.22 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 0.39.1 미만의 버전 번호가 나타나면 취약한 버전이 설치된 상태입니다.
gemini-cli --version 2>/dev/null | grep -E '0\.(3[0-8]|4|[1-9][0-9])\.'