🇰🇷 한글 설명
GitPython 3.2.0 미만 버전에서 정규 표현식 처리 중 서비스 거부(ReDoS) 취약점이 발견되었습니다. 공격자가 특수하게 조작된 커밋이나 태그 정보를 포함한 저장소를 제공할 경우, CPU 자원을 과도하게 소모하여 시스템을 마비시킬 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 Git 데이터를 읽을 때 컴퓨터가 계산을 무한히 반복하게 만들어 멈추게 하는 공격입니다. 이를 통해 서버의 성능을 떨어뜨리거나 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
GitPython before 3.2.0 contains a regular expression denial of service vulnerability in the _re_actor_epoch pattern used by parse_actor_and_date on author, committer, and tagger lines. Attackers can serve repositories with commit or tag objects containing long space-filled lines lacking a valid epoch or timezone, causing quadratic backtracking and CPU exhaustion.
📍 영향받는 시스템
GitPython 3.2.0 미만 모든 버전
⚔️ 공격 벡터
조작된 커밋/태그 정보가 포함된 Git 저장소를 분석하도록 유도하여 CPU 자원 고갈 유발
🛡️ 대응 방법
GitPython을 3.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 3.2.0 미만이면 취약한 상태입니다.
pip show gitpython | grep Version