🇰🇷 한글 설명
Visual Studio Code의 Ansible Lightspeed 확장 프로그램 내 AnsiblePlaybookRunProvider에서 커맨드 인젝션 취약점이 발견되었습니다. 공격자가 특수 문자가 포함된 악성 플레이북 파일명을 생성하면, 사용자가 이를 실행할 때 적절한 검증 없이 임의의 코드가 실행될 수 있습니다. 이는 사용자 권한으로 시스템 침해, 데이터 유출 및 파일 변조를 초래할 수 있습니다.
💡 쉬운 설명
악성 코드가 담긴 이름의 파일을 실행하는 것만으로도 해커가 내 컴퓨터를 조종할 수 있는 보안 약점입니다. 파일 이름에 숨겨진 명령어가 실행되어 중요한 정보가 빠져나갈 위험이 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Visual Studio Code Ansible Lightspeed extension's AnsiblePlaybookRunProvider. This command injection vulnerability allows an attacker to craft a malicious playbook filename containing special characters. When a victim runs the playbook, these characters are not properly sanitized, leading to the execution of arbitrary code with the privileges of the user running VS Code. This could result in a full system compromise, including the exfiltration of sensitive data, modification of project files, and permanent data loss.
📍 영향받는 시스템
Visual Studio Code Ansible Lightspeed extension (버전 미상)
⚔️ 공격 벡터
특수 문자가 포함된 악성 플레이북 파일명을 생성하여 사용자가 실행하도록 유도
🛡️ 대응 방법
해당 확장 프로그램을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
명령어 결과에 ansible-lightspeed가 나타나면 해당 확장 프로그램이 설치되어 있는 상태입니다.
code --list-extensions | grep ansible-lightspeed