🇰🇷 한글 설명
mise의 HTTP 백엔드에서 비최신 버전 설치 시 심볼릭 링크 경로를 생성할 때 검증되지 않은 버전 문자열을 그대로 사용합니다. Unix 계열 시스템에서 공격자가 제어하는 .tool-versions 파일을 통해 mise 설치 경로 외부로 심볼릭 링크를 생성하거나, 실행 파일 경로를 임의의 절대 경로에 배치할 수 있습니다.
💡 쉬운 설명
개발 도구 관리 프로그램인 mise가 잘못된 경로 설정을 허용하여, 해커가 만든 설정 파일을 실행하면 컴퓨터의 엉뚱한 위치에 가짜 파일을 만들 수 있는 보안 약점입니다. 이를 통해 해커는 개발자의 환경 설정을 조작하여 악성 프로그램을 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.6.1, the mise HTTP backend builds its install symlink destination from the raw resolved version string for non-latest versions. Normal tool install paths use the sanitized version pathname, but the HTTP backend's symlink path uses the raw value. On Unix-like systems, if that version is an absolute path, PathBuf::join discards the intended mise installs root. A repository-controlled .tool-versions file can therefore make mise install create a symlink outside the mise install tree. With bin_path, the same issue can place an executable symlink under an attacker-selected absolute prefix, such as a developer-tool prefix that is later added to PATH. This vulnerability is fixed in 2026.6.1.
📍 영향받는 시스템
mise 버전 2026.6.1 미만
⚔️ 공격 벡터
공격자가 조작한 .tool-versions 파일을 통해 mise가 임의의 절대 경로에 심볼릭 링크를 생성하도록 유도
🛡️ 대응 방법
mise를 최신 버전인 2026.6.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.6.1보다 낮으면 취약한 상태이며, 2026.6.1 이상이면 안전합니다.
mise --version | grep -E '2026\.[0-6]\.[0-9]+'