🇰🇷 한글 설명
go-git 라이브러리에서 .pack 및 .idx 파일의 데이터 무결성 값이 올바르게 검증되지 않는 취약점이 발견되었습니다. 이 취약점으로 인해 go-git이 손상된 파일을 사용할 수 있으며, 결과적으로 예기치 않은 오류가 발생할 수 있습니다.
💡 쉬운 설명
go-git 라이브러리는 Git 구현을 위한純 Go로 작성된 라이브러리입니다. 이 라이브러리에는 데이터 무결성 값을 올바르게 검증하지 않는 취약점이 있어, 손상된 파일을 사용할 수 있습니다. 이는 예기치 않은 오류를 발생시킬 수 있습니다. 이 취약점은 5.16.5 버전에서 수정되었습니다.
🇺🇸 원문 (English)
go-git is a highly extensible git implementation library written in pure Go. Prior to 5.16.5, a vulnerability was discovered in go-git whereby data integrity values for .pack and .idx files were not properly verified. This resulted in go-git potentially consuming corrupted files, which would likely result in unexpected errors such as object not found. For context, clients fetch packfiles from upstream Git servers. Those files contain a checksum of their contents, so that clients can perform integrity checks before consuming it. The pack indexes (.idx) are generated locally by go-git, or the git cli, when new .pack files are received and processed. The integrity checks for both files were not being verified correctly. This vulnerability is fixed in 5.16.5.
📍 영향받는 시스템
go-git 라이브러리 5.16.5 이전 버전
⚔️ 공격 벡터
공격자는 손상된 .pack 및 .idx 파일을 업스트림 Git 서버에 올려 클라이언트가 이를 다운로드하여 처리하도록 유도할 수 있습니다.
🛡️ 대응 방법
go-git 라이브러리를 5.16.5 버전 이상으로 업그레이드하세요.
🔧 검증 코드
로컬 Python 환경에서 go-git 라이브러리가 설치되어 있는지 확인하고, 버전을 확인하여 취약점 여부를 판단합니다. Python이 설치되어 있지 않다면, pip install go-git 명령어로 go-git 라이브러리를 설치하세요.
python -c "import pkg_resources; print('go-git' in [d.project_name for d in pkg_resources.working_set] and pkg_resources.get_distribution('go-git').version < '5.16.5')" && echo {"result": "취약", "reason": "go-git 버전이 5.16.5 미만"} || echo {"result": "양호", "reason": "go-git 버전이 5.16.5 이상"}