🇰🇷 한글 설명
Dulwich 0.23.2부터 1.2.5 미만의 버전은 서브모듈 업데이트 시 공격자가 제어하는 경로를 검증하지 않아 `.git/hooks` 디렉토리에 악성 파일을 작성할 수 있습니다. 이로 인해 후속 git 명령 실행 시 임의의 코드가 실행되는 취약점이 존재합니다.
💡 쉬운 설명
이 취약점은 Git 서브모듈을 업데이트할 때 악의적인 경로 조작을 허용하여 시스템의 핵심 설정 폴더에 바이러스를 심을 수 있게 합니다. 결과적으로 사용자의 컴퓨터에서 공격자가 원하는 임의의 코드가 실행될 수 있습니다.
🇺🇸 원문 (English)
Dulwich is a pure-Python implementation of the Git file formats and protocols. Starting in version 0.23.2 and prior to version 1.2.5, `dulwich.porcelain.submodule_update`, and by extension `porcelain.clone(..., recurse_submodules=True)`, materializes attacker-controlled submodule paths from a crafted upstream repository without path validation. A malicious `.gitmodules` plus a matching tree gitlink whose `path` is `.git/hooks` (or any other directory inside the parent repository's `.git` directory) causes the attacker's submodule tree contents to be written directly into the victim's `.git/hooks/` directory, preserving executable mode bits. The dropped executables are then run by any subsequent `git` or `dulwich` command that invokes the matching hook, resulting in arbitrary code execution. This is the dulwich equivalent of the upstream Git fixes for CVE-2024-32002 / CVE-2024-32004, which were never propagated into dulwich's separately implemented submodule porcelain. Version 1.2.5 patches the issue.
📍 영향받는 시스템
Dulwich Python package versions >= 0.23.2 and < 1.2.5
⚔️ 공격 벡터
악성 .gitmodules 및 트리 링크를 포함하는 원격 저장소를 clone 또는 submodule update 시 경로 검증 우회
🛡️ 대응 방법
Dulwich 패키지를 1.2.5 이상 버전으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 1.2.5보다 낮으면 취약한 버전이므로 업그레이드가 필요합니다.
python3 -c "import dulwich; print(dulwich.__version__)"