🇰🇷 한글 설명
Soft Serve는 명령줄 기반 자체 호스팅 Git 서버인데, 0.10.0 이전 버전에서 사용자 입력(이름, 메시지 등)과 Git 커밋 메시지의 ANSI 이스케이프 시퀀스가 정제되지 않아 터미널에 가짜 경고나 메시지를 표시하는 데 악용될 수 있습니다. 이는 사용자 기만을 통한 피싱이나 오도 공격에 사용될 수 있으며, 0.10.0 버전에서 수정되었습니다.
💡 쉬운 설명
Soft Serve Git 서버에서 특수 문자를 이름이나 메시지에 몰래 삽입하면 화면에 거짓 경고나 메시지를 표시할 수 있습니다. 이를 이용해 사용자를 속여 잘못된 행동을 하도록 유도할 수 있습니다.
🇺🇸 원문 (English)
Soft Serve is a self-hostable Git server for the command line. In versions prior to 0.10.0, there are several places where the user can insert data (e.g. names) and ANSI escape sequences are not being removed, which can then be used, for example, to show fake alerts. In the same token, git messages, when printed, are also not being sanitized. This issue is fixed in version 0.10.0.
📍 영향받는 시스템
Soft Serve 버전 0.10.0 미만 (0.9.x 이하)
⚔️ 공격 벡터
사용자명, 저장소명, Git 커밋 메시지 등에 ANSI 이스케이프 코드를 삽입하여 터미널에 가짜 경고나 메시지 표시
🛡️ 대응 방법
Soft Serve를 0.10.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 0.10.0 이상이면 안전하고, 그 미만이면 업그레이드가 필요합니다.
soft-serve --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'