🇰🇷 한글 설명
Visual Studio Code용 MongoDB 확장 프로그램의 구성 요소가 연결 문자열 내 특수 문자를 적절히 처리하지 못해 명령줄 주입 취약점이 발생합니다. 공격자가 개발자에게 조작된 연결 대상을 수락하도록 유도한 뒤 확장 프로그램의 셸 기능을 실행하게 하면, 공격자가 원하는 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
개발자가 가짜 데이터베이스 주소를 입력하도록 속이면, 공격자가 컴퓨터에 몰래 명령을 내릴 수 있는 보안 구멍이 있습니다. 사용자가 확인 버튼을 누를 때 실제 입력된 위험한 문자가 화면에 보이지 않아 알아차리기 어렵습니다.
🇺🇸 원문 (English)
A component of the MongoDB extension for Visual Studio Code does not neutralize special characters in a connection string before that value is placed into a command line the extension composes for an integrated terminal. An unauthenticated remote unauthorized-user who persuades a developer to accept a user-supplied connection target, and then to open the extension's shell feature, can place characters of the unauthorized-user’s choosing into that command line. No privileges on the developer's machine are required, but several user actions are. The confirmation the developer sees does not display the supplied text.
📍 영향받는 시스템
Visual Studio Code용 MongoDB 확장 프로그램 (특정 버전 미기재)
⚔️ 공격 벡터
사회 공학적 기법을 통해 조작된 연결 문자열을 개발자가 수락하도록 유도한 후 셸 기능 실행
🛡️ 대응 방법
MongoDB 확장 프로그램을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 mongodb 관련 확장 프로그램이 나타나면 해당 취약점의 잠재적 영향권에 있는 것입니다.
code --list-extensions | grep mongodb