🇰🇷 한글 설명
Ansible Lightspeed Visual Studio Code 확장 프로그램에서 커맨드 인젝션(CWE-78) 취약점이 발견되었습니다. `ansible.python.activationScript` 설정값이 파일 경로로 적절히 검증되지 않아, 공격자가 특수하게 제작된 프로젝트를 통해 사용자의 시스템에서 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
VS Code의 Ansible 확장 프로그램을 사용할 때, 악성 코드가 포함된 프로젝트를 열기만 해도 해커가 내 컴퓨터를 마음대로 조종할 수 있는 보안 약점입니다. 설정 파일에 입력된 경로를 제대로 확인하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
A flaw was found in the Ansible Lightspeed Visual Studio Code extension. This Command Injection vulnerability (CWE-78) allows a remote attacker to execute unauthorized commands on a user's system. The issue occurs because the `ansible.python.activationScript` setting, intended for a virtual environment activation script, does not properly validate user input as a file path. If a user opens or executes a specially crafted project, an attacker could exploit this to gain complete control over the user's system with the privileges of the Visual Studio Code application.
📍 영향받는 시스템
Ansible Lightspeed Visual Studio Code extension
⚔️ 공격 벡터
특수하게 조작된 프로젝트 파일을 열거나 실행하여 `ansible.python.activationScript` 설정을 통한 원격 명령 실행
🛡️ 대응 방법
해당 확장 프로그램을 최신 보안 패치 버전으로 업데이트하고, 신뢰할 수 없는 프로젝트 파일을 열지 않도록 주의하십시오.
🔧 검증 코드
명령어 결과에 ansible.lightspeed가 나타나면 해당 확장 프로그램이 설치되어 있는 상태입니다.
code --list-extensions | grep ansible.lightspeed