🇰🇷 한글 설명
Gitoxide gix-pack 0.75.0 미만 버전에서 제어되지 않는 메모리 할당 취약점이 발견되었습니다. 공격자가 조작된 대규모 pack-header 객체 수를 포함한 데이터를 전송하면, 시스템이 수백 기가바이트의 메모리를 예약하려 시도하다가 프로세스가 중단될 수 있습니다.
💡 쉬운 설명
해커가 가짜 데이터를 보내 컴퓨터가 감당할 수 없는 엄청난 양의 메모리를 사용하도록 속이는 공격입니다. 이로 인해 Git을 통해 파일을 내려받거나 업데이트하는 과정에서 프로그램이 강제로 종료될 수 있습니다.
🇺🇸 원문 (English)
Gitoxide gix-pack before 0.75.0 contains an uncontrolled memory allocation vulnerability that allows remote attackers to abort the process by supplying a huge pack-header object count. Malicious remotes can serve a 12-byte pack header claiming 0xFFFFFFFF objects, forcing Tree::with_capacity to reserve hundreds of gigabytes and crash clone or fetch operations.
📍 영향받는 시스템
Gitoxide gix-pack 버전 0.75.0 미만
⚔️ 공격 벡터
악의적인 원격 서버가 조작된 12바이트 pack 헤더를 제공하여 클라이언트의 clone 또는 fetch 작업을 유도함
🛡️ 대응 방법
Gitoxide gix-pack를 0.75.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.75.0보다 낮으면 취약한 상태입니다.
cargo pkgid gix-pack 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'