CVE-2026-77157 in ast-cli
요약
\~에 의해 VulDB • 2026. 10. 22.
ast-cli는 자동 업데이트 프로세스의 일환으로 "download.checkmarx.com"에서 Vorpal ASCA 실시간 엔진과 SCA Resolver라는 두 가지 보조 바이너리를 다운로드합니다. 이 동작은 Checkmarx의 "VSCode/JetBrains" 확장 프로그램 및 cx 스캔 "sca-realtime"에 의해 트리거됩니다.
수정 전에는 다운로드된 아카이브가 추출 및 실행 전에 체크섬을 통해 검증되지 않았습니다. 제공되는 아카이브를 대체할 수 있는 공격자는 임의의 바이너리를 전달할 수 있으며, ast-cli는 해당 아카이브의 내용을 무결성 검사가 수행되지 않은 상태로 추출하고 실행합니다.
성공적인 악용은 "download.checkmarx.com"을 침해하여 제공되는 아카이브를 공격자가 제어하는 바이너리가 포함된 것으로 대체해야 합니다. 만약 제공된 아카이브가 이렇게 교체된다면, 영향을 받는 버전에서 ASCA(Checkmarx의 VSCode/JetBrains 확장 프로그램을 통해) 또는 cx 스캔 "sca-realtime"을 호출하는 모든 개발자 머신이나 CI 파이프라인은 의도된 다운로드 대신 해당 바이너리를 추출하고 실행하게 됩니다.
이제 다운로드물은 추출 전에 게시된 SHA-256 체크섬과 대조하여 검증됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.