🇰🇷 한글 설명
OpenAI Codex Desktop의 Windows 및 macOS 버전에서 Git hooks 설정 오류로 인해 공격자가 제어하는 코드가 실행될 수 있는 취약점이 발견되었습니다. 사용자가 악의적으로 설정된 저장소를 열 경우, Codex가 로컬 core.hooksPath 설정을 신뢰하여 샌드박스 외부에서 사용자 권한으로 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 저장소를 열기만 해도 컴퓨터에 몰래 악성 프로그램이 실행될 수 있는 보안 구멍입니다. 공격자는 이 방법을 통해 사용자의 파일을 읽거나 삭제하고 개인 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
OpenAI Codex Desktop for Windows and macOS could execute attacker-controlled Git hooks because automated Git operations trusted the repository's local core.hooksPath setting. If a user opens an attacker-prepared repository whose preserved .git/config points core.hooksPath to an attacker-controlled directory, Codex can run a malicious hook while processing the repository. The hook executes outside Codex's command sandbox, without user approval, and with the user's privileges, allowing it to read, change, or delete the user's files and access other resources available to the user's account. An ordinary Git clone does not preserve the attacker-controlled repository-local configuration required for exploitation.
📍 영향받는 시스템
OpenAI Codex Desktop (Windows 및 macOS 버전)
⚔️ 공격 벡터
악의적으로 설정된 core.hooksPath를 포함한 Git 저장소를 사용자가 열도록 유도
🛡️ 대응 방법
OpenAI Codex Desktop을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
설치된 Codex Desktop의 버전을 확인하여 취약점이 해결된 최신 버전인지 확인하십시오.
openaim-codex --version 2>/dev/null || echo 'Check installed version manually'