🔍 CVE-2016-7794

9.8
CVSS Score
CRITICAL
2017-01-19
2026-05-13 00:24
✅ 완료

🇰🇷 한글 설명

sociomantic-tsunami git-hub 라이브러리 0.10.3 이전 버전에서 저장소 이름(repository name)을 통해 임의의 코드가 실행될 수 있는 취약점입니다. 공격자는 악의적으로 제작된 저장소 이름을 통해 원격에서 코드 실행이 가능합니다.

💡 쉬운 설명

GitHub 클라이언트 라이브러리가 저장소 이름을 안전하게 검증하지 않아, 특수하게 조작된 이름의 저장소로 인해 컴퓨터가 해커의 명령을 실행할 수 있습니다. 이를 통해 공격자는 시스템의 모든 데이터에 접근하거나 파괴할 수 있습니다.

🇺🇸 원문 (English)

sociomantic-tsunami git-hub before 0.10.3 allows remote attackers to execute arbitrary code via a crafted repository name.

📍 영향받는 시스템

sociomantic-tsunami git-hub < 0.10.3 (scala, jvm 기반 GitHub API 클라이언트)

⚔️ 공격 벡터

악의적으로 제작된 저장소 이름(또는 사용자명) 입력을 통해 쉘 명령 인젝션 수행

🛡️ 대응 방법

sociomantic-tsunami git-hub를 0.10.3 이상으로 업그레이드하거나, 저장소/사용자 이름 입력값에 대한 엄격한 검증 추가

🔧 검증 코드

버전 번호가 0.10.3 미만이면 취약점이 있는 상태입니다. 설치되지 않았으면 'not installed'가 출력됩니다.

Shell / Script 
find ~/.ivy2 ~/.m2 -name '*git-hub*' -type f 2>/dev/null | head -1 | xargs -I {} basename {} | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' || echo 'not installed'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

Git