🇰🇷 한글 설명
GitHub Git LFS 2.1.1 이전 버전에서 .lfsconfig 파일의 url 설정값에 대시문자로 시작하는 SSH URL을 사용할 때 임의의 명령 실행이 가능한 취약점입니다. 공격자가 악의적으로 조작된 .lfsconfig 파일을 리포지토리에 커밋하여 다른 사용자가 해당 리포지토리를 클론할 때 자동으로 악의적 명령을 실행하게 할 수 있습니다.
💡 쉬운 설명
Git LFS 설정 파일에 특수한 형식의 주소를 입력하면 안전하지 않은 명령이 자동으로 실행되는 문제입니다. 악의적인 코드가 포함된 리포지토리를 다운로드할 때 해커가 원하는 명령이 당신의 컴퓨터에서 실행될 수 있습니다.
🇺🇸 원문 (English)
GitHub Git LFS before 2.1.1 allows remote attackers to execute arbitrary commands via an ssh URL with an initial dash character in the hostname, located on a "url =" line in a .lfsconfig file within a repository.
📍 영향받는 시스템
GitHub Git LFS 2.1.1 이전 모든 버전
⚔️ 공격 벡터
공격자가 .lfsconfig 파일에 대시(-)로 시작하는 SSH URL을 삽입하여 리포지토리 클론 시 원격 명령 실행
🛡️ 대응 방법
Git LFS를 2.1.1 이상으로 즉시 업그레이드하고, 신뢰할 수 없는 리포지토리 클론 시 주의
🔧 검증 코드
출력된 버전이 2.1.1 이상이면 안전, 2.1.0 이하면 취약점 존재 확인
git lfs version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'