🇰🇷 한글 설명
Windows 환경의 Git Credential Manager Core(GCM Core) 2.0.289 미만 버전에서 발생하는 취약점입니다. 신뢰할 수 없는 저장소를 재귀적으로 클론할 때, 저장소 내에 악성 git.exe가 포함되어 있으면 시스템의 정상적인 git.exe 대신 해당 악성 파일이 실행될 수 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 저장소를 내려받을 때, 그 안에 숨겨진 가짜 Git 프로그램이 내 컴퓨터에서 몰래 실행될 수 있는 문제입니다. 이로 인해 해커가 사용자의 컴퓨터 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
Git Credential Manager Core (GCM Core) is a secure Git credential helper built on .NET Core that runs on Windows and macOS. In Git Credential Manager Core before version 2.0.289, when recursively cloning a Git repository on Windows with submodules, Git will first clone the top-level repository and then recursively clone all submodules by starting new Git processes from the top-level working directory. If a malicious git.exe executable is present in the top-level repository then this binary will be started by Git Credential Manager Core when attempting to read configuration, and not git.exe as found on the %PATH%. This only affects GCM Core on Windows, not macOS or Linux-based distributions. GCM Core version 2.0.289 contains the fix for this vulnerability, and is available from the project's GitHub releases page. GCM Core 2.0.289 is also bundled in the latest Git for Windows release; version 2.29.2(3). As a workaround, users should avoid recursively cloning untrusted repositories with the --recurse-submodules option.
📍 영향받는 시스템
Git Credential Manager Core 2.0.289 미만 버전 (Windows 환경 한정)
⚔️ 공격 벡터
악성 git.exe가 포함된 Git 저장소를 --recurse-submodules 옵션으로 클론하여 실행 유도
🛡️ 대응 방법
GCM Core를 2.0.289 이상 버전으로 업데이트하거나, Git for Windows를 최신 버전(2.29.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 GCM Core 2.0.289 미만이거나 Git for Windows 2.29.2 미만인지 확인하십시오.
git credential-manager --version 2>/dev/null || git --version