🇰🇷 한글 설명
git-fastclone 1.0.1 이전 버전에서 .gitmodules 파일을 통한 임의의 셸 명령 실행 취약점이 존재합니다. 공격자가 제어하는 저장소로부터 재귀적 클론을 수행하도록 사용자를 유도하거나 암호화되지 않은 git 클론을 중간자 공격으로 가로챌 수 있으면, 임의의 셸 명령을 실행할 수 있습니다.
💡 쉬운 설명
git-fastclone이라는 도구에서 특수한 설정 파일(.gitmodules)을 통해 악의적인 명령어가 자동으로 실행될 수 있습니다. 공격자가 만든 저장소를 받거나, 해킹된 네트워크에서 다운로드할 때 위험합니다.
🇺🇸 원문 (English)
git-fastclone before 1.0.1 permits arbitrary shell command execution from .gitmodules. If an attacker can instruct a user to run a recursive clone from a repository they control, they can get a client to run an arbitrary shell command. Alternately, if an attacker can MITM an unencrypted git clone, they could exploit this. The ext command will be run if the repository is recursively cloned or if submodules are updated. This attack works when cloning both local and remote repositories.
📍 영향받는 시스템
git-fastclone < 1.0.1
⚔️ 공격 벡터
공격자가 제어하는 저장소의 .gitmodules에 악성 명령을 삽입하고, 사용자가 재귀 클론하거나 서브모듈을 업데이트하도록 유도
🛡️ 대응 방법
git-fastclone을 1.0.1 이상으로 업그레이드
🔧 검증 코드
Version이 1.0.1 이상이면 안전하고, 설치되지 않았으면 해당 없음. 1.0.0 이하면 취약함.
pip show git-fastclone 2>/dev/null | grep Version || echo 'git-fastclone not installed'