🇰🇷 한글 설명
gitoxide의 체크아웃 기능이 파일 경로 검증을 제대로 수행하지 않아, 악의적으로 조작된 저장소를 클론할 때 작업 트리 외부의 임의 위치에 파일을 생성할 수 있는 취약점입니다. 이를 통해 시스템의 기밀성, 무결성, 가용성이 심각하게 손상될 수 있으며, 버전 0.36.0 이상으로 업데이트하면 해결됩니다.
💡 쉬운 설명
Git 저장소를 복사할 때, 악의적인 저장소가 컴퓨터의 원하는 어디든 파일을 만들 수 있는 보안 문제입니다. 이를 통해 중요한 파일이 손상되거나 삭제될 수 있습니다.
🇺🇸 원문 (English)
gitoxide is a pure Rust implementation of Git. During checkout, `gix-worktree-state` does not verify that paths point to locations in the working tree. A specially crafted repository can, when cloned, place new files anywhere writable by the application. This vulnerability leads to a major loss of confidentiality, integrity, and availability, but creating files outside a working tree without attempting to execute code can directly impact integrity as well. This vulnerability has been patched in version(s) 0.36.0.
📍 영향받는 시스템
gitoxide 버전 0.36.0 미만의 모든 버전 (0.35.0 이하)
⚔️ 공격 벡터
악의적으로 조작된 Git 저장소를 클론할 때 경로 검증 우회를 통해 작업 트리 외부의 임의 위치에 파일 생성
🛡️ 대응 방법
gitoxide를 버전 0.36.0 이상으로 업데이트
🔧 검증 코드
출력된 gitoxide의 버전이 0.36.0 이상이면 안전하고, 미만이면 즉시 업데이트해야 합니다.
cargo tree 2>/dev/null | grep -i gitoxide || grep -i gitoxide Cargo.lock 2>/dev/null | head -1