🇰🇷 한글 설명
Visual Studio Code의 Ansible Lightspeed 확장 프로그램에서 커맨드 인젝션 취약점이 발견되었습니다. ansible.executionEnvironment 설정 내의 containerOptions 및 volumeMounts 항목을 부적절하게 처리하여 셸 구분자를 주입할 수 있으며, 이를 통해 사용자의 권한으로 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
VS Code의 특정 확장 프로그램 설정값에 악의적인 명령어를 몰래 끼워 넣을 수 있는 보안 약점이 발견되었습니다. 공격자가 이 방법을 사용하면 사용자의 컴퓨터에서 허락 없이 위험한 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the Visual Studio Code Ansible Lightspeed extension. This command injection vulnerability (CWE-78) arises from improper handling of the ansible.executionEnvironment.containerOptions and ansible.executionEnvironment.volumeMounts settings, allowing an attacker to inject shell separators. This can be triggered automatically during Language Server initialization or manually when executing a playbook. Successful exploitation leads to remote code execution (RCE) on the victim's machine with the privileges of the Visual Studio Code user, potentially resulting in a complete system compromise.
📍 영향받는 시스템
Visual Studio Code Ansible Lightspeed extension
⚔️ 공격 벡터
설정 파일(ansible.executionEnvironment) 내의 특정 옵션에 셸 구분자를 주입하여 실행
🛡️ 대응 방법
Ansible Lightspeed 확장 프로그램을 최신 보안 패치 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 해당 확장 프로그램이 표시되면 취약한 환경에 노출되었을 가능성이 있으므로 버전을 확인해야 합니다.
code --list-extensions | grep ansible.ansible-lightspeed