🇰🇷 한글 설명
Visual Studio Code의 vscode-java 확장 프로그램에서 JavaDoc 호버 기능 내의 Markdown 콘텐츠를 부적절하게 신뢰하는 결함이 발견되었습니다. 공격자가 조작된 링크를 포함한 Java 파일을 통해 사용자가 JavaDoc 팝업 내 링크를 클릭하도록 유도하면, 임의의 VS Code 명령어를 실행하여 신뢰된 워크스페이스에서 시스템 전체를 장악할 수 있습니다.
💡 쉬운 설명
자바 코드를 작성할 때 나타나는 도움말 창에 숨겨진 악성 링크를 심을 수 있는 보안 약점입니다. 사용자가 도움말에 있는 링크를 실수로 클릭하면 해커가 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the vscode-java extension, which provides Java language support for Visual Studio Code. The extension incorrectly trusts all Markdown content in JavaDoc hovers, allowing a malicious Java file to include hidden commands. If a user clicks a specially crafted link within a JavaDoc hover popup, an attacker can execute arbitrary VS Code commands, which can lead to full system compromise in trusted workspaces.
📍 영향받는 시스템
Visual Studio Code 및 vscode-java 확장 프로그램 (취약한 버전)
⚔️ 공격 벡터
조작된 JavaDoc Markdown 콘텐츠를 포함한 Java 파일을 실행하여 사용자가 호버 팝업 내 링크를 클릭하도록 유도
🛡️ 대응 방법
vscode-java 확장 프로그램을 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 확장 프로그램 목록에서 현재 설치된 vscode-java의 버전을 확인하여 취약 버전 여부를 판단합니다.
code --list-extensions | grep vscode-java