🇰🇷 한글 설명
Blueprint Studio는 Home Assistant 설정 파일을 위한 VS Code 스타일의 파일 편집기입니다. 2.5.2 버전 이전에는 Git 사용자 이름이나 토큰을 검증 없이 셸 기반 Git 자격 증명 도우미에 직접 삽입하여 명령 주입 취약점이 발생했습니다. 공격자가 자격 증명에 셸 구문을 포함할 경우 Home Assistant의 운영체제 권한으로 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
설정 파일 편집기에서 사용자 정보를 처리할 때 보안 검사를 하지 않아 발생하는 문제입니다. 악의적인 사용자가 이름이나 비밀번호 칸에 특수 명령어를 입력하면 컴퓨터를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Blueprint Studio is a VS Code-like file editor for Home Assistant configuration files. Prior to 2.5.2, Blueprint Studio generated a shell-based Git credential helper in custom_components/blueprint_studio/backend/git_manager.py by interpolating the configured Git username and token directly into executable helper script content without validating credential values. An attacker able to set Git credentials could include newline characters or shell syntax in a username or token. When Git executed the generated credential helper, the injected shell commands ran with the operating-system privileges of Home Assistant and could access or modify Home Assistant configuration data. This issue is fixed in version 2.5.2.
📍 영향받는 시스템
Blueprint Studio 버전 2.5.2 미만
⚔️ 공격 벡터
Git 사용자 이름 또는 토큰에 줄바꿈이나 셸 명령어를 삽입하여 실행
🛡️ 대응 방법
Blueprint Studio를 2.5.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version 값이 2.5.2보다 낮은지 확인하십시오.
pip show blueprint-studio 2>/dev/null | grep -E 'Version'