🇰🇷 한글 설명
mise 개발 도구 관리 도구에서 발생하는 취약점으로, 설치 과정 중 파일 소유권 정규화가 이루어지지 않아 발생합니다. 특정 UID/GID(1001)를 가진 로컬 사용자가 루트 권한으로 설치된 실행 파일을 교체하여 권한 상승을 유도할 수 있습니다.
💡 쉬운 설명
프로그램을 설치할 때 파일의 주인 정보를 제대로 확인하지 않는 허점이 있습니다. 이를 통해 악의적인 사용자가 정상적인 프로그램 대신 가짜 프로그램을 실행하게 만들어 컴퓨터 제어권을 뺏을 수 있습니다.
🇺🇸 원문 (English)
mise manages dev tools like node, python, cmake, and terraform. Prior to 2026.7.1, release tar archives record mise/bin/mise with user and group ID 1001 and packaging/standalone/install.envsubst extracts and moves it without normalizing ownership, allowing a local user with those IDs to replace a root-installed executable, especially when MISE_INSTALL_PATH targets a shared location such as /usr/local/bin. This issue is fixed in version 2026.7.1.
📍 영향받는 시스템
mise 버전 2026.7.1 미만 버전
⚔️ 공격 벡터
로컬 사용자가 특정 UID/GID를 사용하여 설치된 실행 파일을 교체하는 로컬 공격
🛡️ 대응 방법
mise를 최신 버전인 2026.7.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.7.1보다 낮으면 취약한 상태입니다.