🇰🇷 한글 설명
Git GUI가 Windows에서 실행파일을 검색할 때 현재 디렉토리를 경로에 포함하는 설계 결함으로, 악의적인 저장소에 포함된 sh.exe나 textconv 필터 프로그램이 Git Bash 실행 또는 파일 탐색 시 자동 실행되어 임의의 코드 실행을 초래할 수 있습니다.
💡 쉬운 설명
Git 저장소를 받으면 저장소 폴더 내 악성 프로그램이 Git 메뉴 클릭 시 자동으로 실행됩니다. Windows에서 현재 폴더의 파일을 우선적으로 찾기 때문입니다.
🇺🇸 원문 (English)
Git GUI allows you to use the Git source control management tools via a GUI. A malicious repository can ship versions of sh.exe or typical textconv filter programs such as astextplain. Due to the unfortunate design of Tcl on Windows, the search path when looking for an executable always includes the current directory. The mentioned programs are invoked when the user selects Git Bash or Browse Files from the menu. This vulnerability is fixed in 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1, and 2.50.1.
📍 영향받는 시스템
Git GUI 2.43.6 이하, 2.44.3 이하, 2.45.3 이하, 2.46.3 이하, 2.47.2 이하, 2.48.1 이하, 2.49.0, 2.50.0 (Windows)
⚔️ 공격 벡터
악의적인 Git 저장소 클론 후 Git Bash 실행 또는 Browse Files 메뉴 선택
🛡️ 대응 방법
Git을 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1, 2.50.1 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
현재 Git 버전을 확인하여 위의 안전한 버전 목록 중 하나 이상과 일치하는지 확인하세요. 일치하면 패치됨, 미만이면 업그레이드 필요
git --version | grep -oP '\d+\.\d+\.\d+'