🇰🇷 한글 설명
go-git는 순수 Go로 작성된 git 구현 라이브러리입니다. 5.18.0 및 6.0.0-alpha.2 버전 이전에서 스마트 HTTP 클론/페치 작업 중 HTTP 리다이렉트를 따를 때 인증 자격증명이 누출될 수 있습니다. 이 취약점은 버전 5.18.0 및 6.0.0-alpha.2에서 패치되었습니다.
💡 쉬운 설명
go-git 라이브러리를 사용하여 git 저장소를 다운로드할 때, 웹 사이트가 다른 주소로 리다이렉트되면 로그인 정보(사용자명, 비밀번호, 토큰)가 노출될 수 있습니다. 공격자가 이 정보를 가로채 저장소에 무단 접근하거나 악성 코드를 주입할 수 있습니다.
🇺🇸 원문 (English)
go-git is an extensible git implementation library written in pure Go. Prior to versions 5.18.0 and 6.0.0-alpha.2, go-git may leak HTTP authentication credentials when following redirects during smart-HTTP clone and fetch operations. This issue has been patched in versions 5.18.0 and 6.0.0-alpha.2.
📍 영향받는 시스템
go-git 버전 5.18.0 미만, 6.0.0-alpha.2 미만 (v5.*, v6.0.0-alpha.1 등)
⚔️ 공격 벡터
악의적인 서버가 HTTP 리다이렉트를 통해 원본 인증 정보를 다른 도메인으로 전송하도록 유도
🛡️ 대응 방법
go-git을 버전 5.18.0 이상 또는 6.0.0-alpha.2 이상으로 업그레이드
🔧 검증 코드
go.mod/go.sum에서 go-git 버전 확인 후, v5.18.0 이상 또는 v6.0.0-alpha.2 이상이면 안전, 미만이면 취약
grep 'github.com/go-git/go-git' go.mod go.sum 2>/dev/null | awk '{print $1, $NF}' | sort -u