🇰🇷 한글 설명
Vim 9.2.0699 이전 버전의 Python omni-completion 기능에서 발생하는 취약점입니다. 버퍼 내의 docstring을 재구성하는 과정에서 이스케이프 처리가 누락되어, 악의적인 버퍼를 통해 임의의 Python 코드를 실행할 수 있습니다.
💡 쉬운 설명
텍스트 편집기인 Vim이 코드를 자동 완성하는 과정에서 보안 허점이 발견되었습니다. 공격자가 특수하게 조작된 파일을 열게 하면, 사용자의 컴퓨터에서 몰래 악성 명령어가 실행될 수 있습니다.
🇺🇸 원문 (English)
Vim is an open source, command line text editor. Prior to 9.2.0699, Vim's Python omni-completion (runtime/autoload/python3complete.vim and the legacy pythoncomplete.vim) executes reconstructed function and class definitions from the current buffer with exec() as part of populating the completion dictionary. When reconstructing that source, each scope's docstring is inserted verbatim between triple quotes with no escaping, so a hostile buffer can break out of the triple-quoted literal and execute attacker-controlled Python during omni-completion. This vulnerability is fixed in 9.2.0699.
📍 영향받는 시스템
Vim 9.2.0699 미만 버전
⚔️ 공격 벡터
악의적으로 조작된 docstring이 포함된 파일을 Vim으로 열어 omni-completion을 트리거함
🛡️ 대응 방법
Vim을 최신 버전인 9.2.0699 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 9.2.0699보다 낮은지 확인하십시오.
vim --version | grep -E 'Vim (9\.[0-9]{2}\.[0-9]{4})'