🇰🇷 한글 설명
Git 2.14.2 이하 버전의 트리 객체 계층 처리 결함으로 인해 정제된 저장소로부터 메모리 소비 공격(Git bomb)이 가능합니다. 공격자가 특정 저장소를 클론하도록 유도하여 피해 시스템의 메모리를 고갈시킬 수 있으며, 극단적인 경우 디스크 공간 소비까지 유발할 수 있습니다.
💡 쉬운 설명
공격자가 악의적인 Git 저장소를 만든 후 사용자가 클론하도록 유도하면, 그 과정에서 컴퓨터의 메모리가 모두 사용되어 시스템이 느려지거나 멈출 수 있습니다. 폭탄처럼 갑자기 많은 메모리를 사용한다고 해서 'Git bomb'이라고 부릅니다.
🇺🇸 원문 (English)
Git through 2.14.2 mishandles layers of tree objects, which allows remote attackers to cause a denial of service (memory consumption) via a crafted repository, aka a Git bomb. This can also have an impact of disk consumption; however, an affected process typically would not survive its attempt to build the data structure in memory before writing to disk.
📍 영향받는 시스템
Git v2.4.0 ~ v2.14.2 (2.14.3 이상에서 패치됨)
⚔️ 공격 벡터
정제된 악의적 Git 저장소를 원격 저장소로 호스팅하고, 사용자가 저장소를 클론 또는 페치하도록 사회공학 기법으로 유도
🛡️ 대응 방법
Git을 2.14.3 이상으로 업그레이드하고, 신뢰할 수 없는 저장소 클론 시 사전에 저장소 구조 검토
🔧 검증 코드
출력된 Git 버전이 2.14.3 이상이면 취약점이 패치된 상태이고, 2.14.2 이하면 즉시 업그레이드 필요
git --version | grep -oP 'git version \K[0-9]+\.[0-9]+\.[0-9]+'