🇰🇷 한글 설명
WSO2 Integrator MI VS Code 확장이 신뢰할 수 없는 소스의 Micro Integrator 프로젝트를 처리할 때 사용자 입력값을 적절히 검증하지 못하는 취약점입니다. 공격자는 조작된 프로젝트를 통해 유닛 테스트 실행 흐름에서 임의의 운영체제 명령어를 주입하고 실행할 수 있습니다.
💡 쉬운 설명
검증되지 않은 프로젝트 파일을 열고 테스트를 실행하면 해커가 내 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍입니다. 악성 프로젝트를 열어보는 것만으로도 컴퓨터 제어권을 뺏길 위험이 있습니다.
🇺🇸 원문 (English)
The WSO2 Integrator MI VS Code extension fails to properly sanitize or validate user-supplied input when processing Micro Integrator projects opened from untrusted sources. This allows a crafted project to inject and execute arbitrary operating system commands through the unit test execution flow.
Successful exploitation of this vulnerability could lead to the execution of arbitrary OS commands on the system where the VS Code extension is running. The extent of the impact is dependent on the privileges of the user account under which VS Code is operating. Exploitation requires the user to grant workspace trust to the malicious project and subsequently trigger the unit test execution.
📍 영향받는 시스템
WSO2 Integrator MI VS Code extension (신뢰할 수 없는 프로젝트를 여는 환경)
⚔️ 공격 벡터
사용자가 악성 프로젝트에 워크스페이스 신뢰를 부여한 후 유닛 테스트를 실행하도록 유도
🛡️ 대응 방법
WSO2에서 제공하는 최신 버전의 VS Code 확장을 설치하고, 출처가 불분명한 프로젝트에 대한 워크스페이스 신뢰를 거부하십시오.
🔧 검증 코드
명령어 결과에 해당 확장 프로그램이 나타나면 설치 여부를 확인하고, 최신 보안 패치가 적용된 버전인지 확인하십시오.
code --list-extensions | grep 'wso2.integrator-mi'