🇰🇷 한글 설명
GitAhead 2.7.1 이하 버전의 src/git/Filter.cpp에서 OS 명령 주입 취약점이 발견되었습니다. 공격자가 조작된 파일명을 포함한 저장소를 통해 clean/smudge 필터 명령에 악성 명령을 삽입하여 실행할 수 있습니다. .gitattributes를 통해 특정 파일명을 지정하면 체크아웃이나 스테이징 과정에서 bash를 통해 명령이 실행됩니다.
💡 쉬운 설명
악성 코드가 숨겨진 파일을 다운로드하거나 저장소를 열기만 해도 컴퓨터가 해커의 명령을 대신 실행하게 되는 보안 결함입니다. 파일 이름에 특수 기호를 넣어 시스템 명령어를 몰래 실행하는 방식입니다.
🇺🇸 원문 (English)
GitAhead through 2.7.1 contains an OS command injection vulnerability in src/git/Filter.cpp that allows malicious repositories to execute commands by substituting crafted filenames into clean/smudge filter commands. Attackers can ship files named with $(command) selected via .gitattributes so checkout or staging runs the command through bash -c as the victim.
📍 영향받는 시스템
GitAhead 2.7.1 및 그 이전 버전
⚔️ 공격 벡터
조작된 파일명이 포함된 Git 저장소를 체크아웃하거나 스테이징하는 과정에서 발생
🛡️ 대응 방법
GitAhead를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2.7.1 이하인지 확인하여 취약 여부를 판단합니다.
gitahead --version 2>/dev/null || echo 'Version check not supported via CLI'