🇰🇷 한글 설명
gittuf의 Reference State Log(RSL)에 push 접근 권한이 있는 공격자가 현재 정책을 이전의 신뢰된 정책으로 롤백할 수 있습니다. 새로운 정책 검증 과정에서 이전 정책을 참조하는 RSL entry를 생성하여 보안 정책을 공격자가 원하는 상태로 되돌릴 수 있습니다. 0.14.0 버전에서 수정되었습니다.
💡 쉬운 설명
Git 보안 관리 도구인 gittuf에서 관리자 권한이 있는 공격자가 보안 정책을 과거의 약한 버전으로 되돌릴 수 있습니다. 이를 통해 이후 더 위험한 공격을 수행할 수 있게 됩니다.
🇺🇸 원문 (English)
gittuf is a platform-agnostic Git security system. Prior to 0.14.0, an attacker with push access to gittuf's Reference State Log (RSL) can roll back the current policy to any previous policy trusted by the current set of root keys. gittuf determines the policy to load by inspecting the RSL. Except for the very first policy (which is automatically trusted given gittuf's TOFU model, or verified against manually specified keys), whenever an RSL entry that points to a new policy is encountered, gittuf validates that this policy is trusted. This is done by checking that the new policy’s root metadata is signed by the required threshold of the current policy's root keys. Because of this, an attacker with push access to the RSL may create a new entry that references an old policy (that is trusted by the most recent policy's set of root keys), thereby rolling back gittuf's policy to the attacker's chosen state. This vulnerability is fixed in 0.14.0.
📍 영향받는 시스템
gittuf 0.14.0 미만 모든 버전
⚔️ 공격 벡터
Reference State Log(RSL)에 대한 push 접근 권한 필요 (인증된 공격자)
🛡️ 대응 방법
gittuf를 0.14.0 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 0.14.0 이상이면 안전합니다. 0.14.0 미만이거나 'gittuf not found'이면 업그레이드 필요합니다.
gittuf version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' || echo 'gittuf not found'