🇰🇷 한글 설명
Gitoxide gix-pack 0.75.0 미만 버전에서 악의적인 원격 서버가 조작된 thin-pack OFS_DELTA 항목을 전송하여 fetch 작업을 중단시키는 서비스 거부(DoS) 취약점이 발견되었습니다. 공격자가 pack_offset을 초과하는 base_distance를 가진 OFS_DELTA를 포함한 thin pack을 제공할 경우, LookupRefDeltaObjectsIter에서 패닉이 발생하여 프로세스가 강제 종료됩니다.
💡 쉬운 설명
악성 서버로부터 데이터를 가져올 때, 특수하게 조작된 데이터를 보내 컴퓨터 프로그램을 강제로 종료시킬 수 있는 문제입니다. 이로 인해 데이터 업데이트나 다운로드 작업이 중단될 수 있습니다.
🇺🇸 원문 (English)
Gitoxide gix-pack before 0.75.0 contains a denial of service vulnerability that allows malicious remotes to crash fetch operations by sending crafted thin-pack OFS_DELTA entries. Attackers can serve a thin pack with a REF_DELTA referencing an existing object followed by an OFS_DELTA whose base_distance exceeds pack_offset, triggering a panic in LookupRefDeltaObjectsIter that aborts the fetch process.
📍 영향받는 시스템
Gitoxide gix-pack 버전 0.75.0 미만
⚔️ 공격 벡터
악의적인 원격 서버가 조작된 thin-pack 데이터를 전송하여 fetch 프로세스를 유도함
🛡️ 대응 방법
Gitoxide gix-pack를 0.75.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 패키지 버전이 0.75.0 미만인지 확인하십시오.
cargo pkgid | grep gix-pack || echo 'Not found'