🇰🇷 한글 설명
yadm 1.10.0 버전의 race condition 취약점으로 인해 git 명령어가 새로운 파일과 디렉토리의 권한을 설정할 때 경쟁 조건이 발생합니다. 이로 인해 SSH 및 PGP 키와 같은 민감한 파일에 대해 의도하지 않은 파일 접근 권한이 부여될 수 있습니다.
💡 쉬운 설명
yadm이 설정 파일을 관리할 때 권한을 설정하는 과정에서 시간 차이로 인한 보안 문제가 발생합니다. 다른 사용자가 SSH 또는 PGP 키 파일에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
yadm (yet another dotfile manager) 1.10.0 has a race condition (related to the behavior of git commands in setting permissions for new files and directories), which potentially allows access to SSH and PGP keys.
📍 영향받는 시스템
yadm 1.10.0 (Linux, macOS, UNIX 등 git 기반 시스템)
⚔️ 공격 벡터
로컬 사용자가 race condition을 이용해 dotfile 디렉토리 생성 중 민감한 키 파일의 권한을 읽을 수 있음
🛡️ 대응 방법
yadm을 1.10.1 이상 버전으로 업그레이드하고, SSH/PGP 키 파일의 권한을 600으로 재설정
🔧 검증 코드
명령어 결과에서 버전이 1.10.0이면 취약함, 1.10.1 이상이면 패치됨
yadm --version 2>/dev/null | grep -E '1\.(10\.0|[0-9]\.[0-9])'