🇰🇷 한글 설명
0.39.1 미만 버전의 Gemini CLI에서 발생하는 취약점으로, 공격자가 신뢰할 수 없는 디렉토리에서 CLI를 실행하도록 유도하여 임의 코드를 실행할 수 있습니다. 공격자는 .env 파일을 통해 GEMINI_CLI_HOME 환경 변수를 조작함으로써 악성 설정 파일을 로드하고 폴더 신뢰 확인 절차를 우회합니다.
💡 쉬운 설명
해커가 만든 폴더 안에서 Gemini CLI 프로그램을 실행하면, 프로그램이 해커의 나쁜 설정 파일을 읽어 들여 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 사용자가 모르는 사이에 악성 코드가 실행될 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability in the Gemini CLI prior to version 0.39.1 allows attackers to achieve arbitrary code execution by tricking a victim into starting the CLI within an untrusted directory. The vulnerability is triggered via untrusted .env files overriding GEMINI_CLI_HOME to load malicious configuration files and bypass folder trust prompts.
📍 영향받는 시스템
Gemini CLI version 0.39.1 미만 모든 버전
⚔️ 공격 벡터
신뢰할 수 없는 디렉토리 내의 조작된 .env 파일을 통한 환경 변수(GEMINI_CLI_HOME) 탈취 및 설정 파일 로드
🛡️ 대응 방법
Gemini CLI를 최신 버전인 0.39.1 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.39.1보다 낮으면 취약한 상태이며, 0.39.1 이상이면 안전합니다.
gemini --version 2>/dev/null | grep -E '0\.[0-9]{1,2}\.[0-9]{1,2}'