Vim 취약점(CVE-2025-27423) 분석, 악성 TAR 아카이브 통한 코드 실행

Vim Vulnerability (CVE-2025-27423) Allows Code Execution via Malicious TAR Archives

Vim Vulnerability (CVE-2025-27423) Allows Code Execution via Malicious TAR Archives

 

• 취약점 개요
  • CVE-2025-27423은 Vim 텍스트 편집기의 tar.vim 플러그인에 존재하는 고위험도 취약점
  • 사용자에게 조작된 TAR 파일을 열게 유도하면, 공격자가 임의 명령을 실행할 수 있음
  • 해당 취약점은 CVSS 3.1 기준 7.1점으로 평가되며, 사용자 권한으로 시스템을 완전히 제어당할 수 있음
• 기술적 배경
  • tar.vim 플러그인은 Vim 내에서 TAR 파일 열람 및 편집 기능을 제공
  • 2024년 11월 업데이트(커밋 129a844)에서 파일 권한 지원을 추가하면서, TAR 아카이브 내 파일명에 대한 이스케이프 처리 누락
  • :read 명령어 사용 시, 파일명이 셸 메타문자(|, ;, &&)나 명령어를 포함할 경우 $SHELL 환경변수에 지정된 기본 셸(Bash, Zsh 등)을 통해 실행
  • 공격 성공 시, 악성 파일명을 통해 셸 명령어가 직접 실행되어 로컬 공격 또는 권한 상승 가능
• 영향 및 취약 버전
  • 취약한 버전: Vim 9.1.0858 ~ 9.1.1163
  • 패치 버전: Vim 9.1.1164 (2025년 3월 2일 출시)
  • 주요 Linux 배포판(Debian, Fedora, FreeBSD 등)은 보안 업데이트 제공 중
  • 사용자가 악성 TAR 파일을 직접 열어야만 공격이 가능하므로, 사회공학 기반 유도 방식이 요구됨
• 공격 시나리오
  • 공격자는 악성 TAR 파일 생성 후 개발자/시스템 관리자에게 전달
  • 사용자가 Vim으로 열람 시, :read 명령어를 통해 삽입된 파일명 기반 명령어가 실행
  • 결과적으로 랜섬웨어 배포, 정보 탈취, 내부망 측면 이동 등 다양한 위협으로 이어질 수 있음
• 보안 권고
  • 패치 적용 최우선 권고: Vim 9.1.1164 이상 버전으로 즉시 업그레이드
  • 임시 대응 조치
    • tar.vim 플러그인을 Vim 런타임 디렉터리에서 삭제 또는 이름 변경하여 비활성화
    • 신뢰되지 않은 TAR 파일 직접 열람 금지, tar, gunzip 등 전용 툴 사용 권장
    • $SHELL 환경변수를 제한된 셸로 변경하거나 보안 설정 강화
  • 보안 인식 교육 필요: 오픈소스 협업 환경 또는 CI/CD 파이프라인 등에서 TAR 파일 유입 시 주의 강화
  • 실시간 취약점 탐지를 위한 자동화 도구(Vulert 등) 도입 고려
• 결론
  • 텍스트 에디터에 포함된 아카이브 처리 기능은 보안상 위협이 될 수 있음
  • 입력값 검증 미흡은 CWE-20, CWE-77의 전형적인 사례로 소규모 코드 변경도 치명적인 취약점 유발 가능
  • Vim은 수백만 개 시스템에 설치된 도구로, 보안 업데이트의 우선적 적용과 사용자 경각심 고취가 필수