🇰🇷 한글 설명
HashiCorp의 go-getter 라이브러리 v1.8.5 이하 버전에서 특정 git 작업 중 악의적으로 조작된 URL을 통해 파일 시스템의 임의 파일을 읽을 수 있는 취약점이 발견되었습니다. 이 문제는 v1.8.6 버전에서 수정되었으며, go-getter/v2 브랜치 및 패키지에는 영향을 주지 않습니다.
💡 쉬운 설명
해커가 특수하게 만든 주소를 이용해 서버 내의 중요한 파일을 몰래 훔쳐볼 수 있는 약점이 발견되었습니다. 라이브러리를 최신 버전으로 업데이트하여 해결할 수 있습니다.
🇺🇸 원문 (English)
HashiCorp’s go-getter library up to v1.8.5 may allow arbitrary file reads on the file system during certain git operations through a maliciously crafted URL. This vulnerability, CVE-2026-4660, is fixed in go-getter v1.8.6. This vulnerability does not affect the go-getter/v2 branch and package.
📍 영향받는 시스템
HashiCorp go-getter library v1.8.5 및 그 이전 버전 (v2 제외)
⚔️ 공격 벡터
악의적으로 조작된 URL을 이용한 임의 파일 읽기(Arbitrary File Read)
🛡️ 대응 방법
go-getter 라이브러리를 v1.8.6 버전 이상으로 업데이트
🔧 검증 코드
명령어 실행 결과 v1.8.5 이하의 버전이 출력되면 취약한 상태이며, 출력 결과가 없거나 v1.8.6 이상이면 안전합니다.
go list -m github.com/hashicorp/go-getter | grep -E 'v1\.[0-8]\.[0-5]'