🇰🇷 한글 설명
GitHub Copilot과 Visual Studio Code에서 특수 문자 처리 미흡으로 인한 명령어 주입 취약점이 존재합니다. 인가된 공격자가 이를 악용하여 네트워크를 통해 민감한 정보를 유출할 수 있습니다.
💡 쉬운 설명
코파일럿이나 VS Code가 사용자 입력을 제대로 검증하지 않아, 악의적인 명령어를 실행하도록 조작할 수 있습니다. 이를 통해 컴퓨터에 저장된 비밀정보(토큰, 키 등)가 외부로 유출될 수 있습니다.
🇺🇸 원문 (English)
Improper neutralization of special elements used in a command ('command injection') in GitHub Copilot and Visual Studio Code allows an authorized attacker to disclose information over a network.
📍 영향받는 시스템
GitHub Copilot 및 Visual Studio Code (특정 버전 이상 - 공식 보안 업데이트 확인 필요)
⚔️ 공격 벡터
인가된 사용자가 조작된 코드 제안이나 파일을 통해 명령어 주입 페이로드를 삽입하여 정보 유출
🛡️ 대응 방법
GitHub과 Microsoft 공식 보안 업데이트 패치를 즉시 적용하고, 코파일럿 기능 사용 시 생성된 코드를 항상 검증
🔧 검증 코드
버전 정보가 최신 패치 버전인지 확인하고, VS Code Settings의 업데이트 섹션에서 패치 적용 여부 확인
code --version && git -C ~/.vscode log --oneline -1 2>/dev/null || echo 'Check VS Code updates in Settings > About'