🇰🇷 한글 설명
Git의 라인 기반 프로토콜에서 특정 생태계(.NET, node.js 등)가 캐리지 리턴(
) 문자를 줄바꿈으로 해석하는 취약점입니다. 이로 인해 이전 취약점(CVE-2020-5260)에 대한 방어 체계가 무력화되어 자격 증명 도우미(credential helper)를 통한 보안 위협이 발생할 수 있습니다.
💡 쉬운 설명
해커가 특수 문자를 이용해 Git이 사용자의 비밀번호나 인증 정보를 가로채도록 속일 수 있는 문제입니다. 신뢰할 수 없는 저장소를 복제할 때 발생할 수 있으므로 주의가 필요합니다.
🇺🇸 원문 (English)
Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. Git defines a line-based protocol that is used to exchange information between Git and Git credential helpers. Some ecosystems (most notably, .NET and node.js) interpret single Carriage Return characters as newlines, which renders the protections against CVE-2020-5260 incomplete for credential helpers that treat Carriage Returns in this way. This issue has been addressed in commit `b01b9b8` which is included in release versions v2.48.1, v2.47.2, v2.46.3, v2.45.3, v2.44.3, v2.43.6, v2.42.4, v2.41.3, and v2.40.4. Users are advised to upgrade. Users unable to upgrade should avoid cloning from untrusted URLs, especially recursive clones.
📍 영향받는 시스템
Git v2.48.1, v2.47.2, v2.46.3, v2.45.3, v2.44.3, v2.43.6, v2.42.4, v2.41.3, v2.40.4 미만 버전
⚔️ 공격 벡터
신뢰할 수 없는 URL로부터 Git 저장소를 클론(clone)할 때 악의적으로 조작된 프로토콜 응답을 통해 공격
🛡️ 대응 방법
Git을 최신 보안 패치가 적용된 버전(v2.48.1, v2.47.2 등)으로 즉시 업데이트하거나, 업데이트가 불가능할 경우 신뢰할 수 없는 URL의 클론을 금지함
🔧 검증 코드
출력된 Git 버전이 보안 패치가 포함된 버전(예: v2.48.1 이상)인지 확인