🇰🇷 한글 설명
Node.js 애플리케이션에서 git 명령을 실행하는 인터페이스인 simple-git 라이브러리의 버전 3.15.0~3.32.2에서 이전의 두 CVE 수정사항을 우회하여 원격 코드 실행(RCE) 공격이 가능합니다. 버전 3.23.0에 업데이트된 수정사항이 적용되어 있습니다.
💡 쉬운 설명
simple-git이라는 Node.js 프로그램이 안전한 명령 입력 검증을 우회당할 수 있어 공격자가 컴퓨터를 완전히 제어할 수 있습니다. 이전에 고쳐진 보안 구멍이 다시 열린 것입니다.
🇺🇸 원문 (English)
`simple-git`, an interface for running git commands in any node.js application, has an issue in versions 3.15.0 through 3.32.2 that allows an attacker to bypass two prior CVE fixes (CVE-2022-25860 and CVE-2022-25912) and achieve full remote code execution on the host machine. Version 3.23.0 contains an updated fix for the vulnerability.
📍 영향받는 시스템
simple-git 3.15.0 ~ 3.32.2 (3.23.0은 수정됨)
⚔️ 공격 벡터
깃 저장소 조작 또는 특수 명령어를 통한 명령 삽입으로 RCE 달성
🛡️ 대응 방법
simple-git을 3.23.0 이상(또는 3.32.3+)으로 즉시 업그레이드
🔧 검증 코드
출력된 버전이 3.15.0~3.22.x 또는 3.24.x~3.32.2 범위면 취약함. 3.23.0 이상이면 안전함.
npm list simple-git 2>/dev/null | grep simple-git | awk '{print $2}'