🇰🇷 한글 설명
Cygwin 환경의 Git에서 심볼릭 링크와 백슬래시(\) 문자가 포함된 파일명이 포함된 특수 제작된 저장소를 체크아웃할 때 임의의 코드가 실행될 수 있는 취약점입니다. 이 문제는 업스트림 Git 소스 코드에도 존재하며, Cygwin Git v2.31.1-2 버전에서 패치될 예정입니다.
💡 쉬운 설명
해커가 만든 악성 파일이 들어있는 저장소를 내려받기만 해도 컴퓨터에서 몰래 나쁜 프로그램이 실행될 수 있는 위험이 있습니다. 믿을 수 없는 곳에서 코드를 가져오지 않도록 주의해야 합니다.
🇺🇸 원문 (English)
Cygwin Git is a patch set for the git command line tool for the cygwin environment. A specially crafted repository that contains symbolic links as well as files with backslash characters in the file name may cause just-checked out code to be executed while checking out a repository using Git on Cygwin. The problem will be patched in the Cygwin Git v2.31.1-2 release. At time of writing, the vulnerability is present in the upstream Git source code; any Cygwin user who compiles Git for themselves from upstream sources should manually apply a patch to mitigate the vulnerability. As mitigation users should not clone or pull from repositories from untrusted sources. CVE-2019-1354 was an equivalent vulnerability in Git for Visual Studio.
📍 영향받는 시스템
Cygwin 환경의 Git (v2.31.1-2 미만 버전)
⚔️ 공격 벡터
악의적으로 조작된 심볼릭 링크와 백슬래시 파일명이 포함된 Git 저장소를 clone 또는 pull 함으로써 발생
🛡️ 대응 방법
Cygwin Git을 v2.31.1-2 이상 버전으로 업데이트하거나, 신뢰할 수 없는 저장소의 클론/풀 작업을 금지함
🔧 검증 코드
명령어 결과에 '2.31.1-2' 이상의 버전이 표시되지 않으면 취약한 버전일 가능성이 높습니다.
git --version | grep -E '2.31.1-2'