🇰🇷 한글 설명
gitoxide의 Windows 버전에서 레거시 디바이스 이름(CON, PRN, AUX 등)과 충돌하는 refs와 경로를 처리할 때, 디바이스로부터 임의로 데이터를 읽거나 쓸 수 있는 취약점입니다. 악의적인 저장소를 클론할 때 애플리케이션 무한 차단이나 임의 메시지 생성이 가능합니다.
💡 쉬운 설명
gitoxide가 Windows에서 특수한 이름(예: CON)을 가진 파일을 처리할 때 컴퓨터의 시스템 장치를 실수로 건드릴 수 있습니다. 악의적으로 조작된 코드 저장소를 내려받으면 프로그램이 멈추거나 예상 밖의 메시지가 표시될 수 있습니다.
🇺🇸 원문 (English)
gitoxide is a pure Rust implementation of Git. On Windows, fetching refs that clash with legacy device names reads from the devices, and checking out paths that clash with such names writes arbitrary data to the devices. This allows a repository, when cloned, to cause indefinite blocking or the production of arbitrary message that appear to have come from the application, and potentially other harmful effects under limited circumstances. If Windows is not used, or untrusted repositories are not cloned or otherwise used, then there is no impact. A minor degradation in availability may also be possible, such as with a very large file named `CON`, though the user could interrupt the application.
📍 영향받는 시스템
Windows에서 실행되는 gitoxide (영향받는 버전 정보는 보안 공지 확인 필요)
⚔️ 공격 벡터
악의적으로 조작된 Git 저장소를 클론하거나 체크아웃할 때, 레거시 디바이스 이름과 충돌하는 경로나 refs를 통해 발동
🛡️ 대응 방법
gitoxide를 최신 보안 패치가 적용된 버전으로 업데이트 (cargo update 또는 패키지 매니저 사용)
🔧 검증 코드
gitoxide의 설치 여부와 버전 정보가 표시되며, 보안 업데이트가 적용된 최신 버전인지 확인합니다.
gitoxide --version 2>/dev/null || cargo list 2>/dev/null | grep -i gitoxide || dpkg -l 2>/dev/null | grep -i gitoxide