🇰🇷 한글 설명
git-shell이 대시(-)로 시작하는 저장소 이름을 부적절하게 처리하여 원격 인증된 사용자가 권한을 상승시킬 수 있는 취약점입니다. 공격자는 특수 문자로 시작하는 저장소명을 통해 시스템 명령어를 실행할 수 있습니다.
💡 쉬운 설명
Git 시스템에서 대시(-)로 시작하는 폴더 이름으로 공격하면 시스템 관리자 권한을 얻을 수 있는 보안 문제입니다. 권한 없는 사용자가 높은 권한의 명령어를 실행하여 시스템을 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
git-shell in git before 2.4.12, 2.5.x before 2.5.6, 2.6.x before 2.6.7, 2.7.x before 2.7.5, 2.8.x before 2.8.5, 2.9.x before 2.9.4, 2.10.x before 2.10.3, 2.11.x before 2.11.2, and 2.12.x before 2.12.3 might allow remote authenticated users to gain privileges via a repository name that starts with a - (dash) character.
📍 영향받는 시스템
git 2.4.12 미만, 2.5.6 미만, 2.6.7 미만, 2.7.5 미만, 2.8.5 미만, 2.9.4 미만, 2.10.3 미만, 2.11.2 미만, 2.12.3 미만 모든 버전
⚔️ 공격 벡터
대시(-)로 시작하는 저장소 이름을 생성하여 git-shell이 이를 명령어 옵션으로 잘못 해석하도록 유도
🛡️ 대응 방법
git를 최신 버전으로 즉시 업그레이드 (2.12.3 이상 또는 각 메이저 버전의 최신 패치)
🔧 검증 코드
출력된 git 버전이 2.12.3 이상이면 안전, 미만이면 긴급 업그레이드 필요
git --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1