🇰🇷 한글 설명
8.30.1 미만 버전의 Gitleaks에는 템플릿 주입 취약점이 존재합니다. 공격자가 보고서 템플릿을 조작할 수 있다면, Sprig 템플릿 함수의 허점을 이용해 환경 변수를 읽고 자격 증명이나 API 키와 같은 민감한 데이터를 외부로 유출할 수 있습니다.
💡 쉬운 설명
Gitleaks라는 도구의 보고서 양식을 조작하여 컴퓨터 안에 숨겨진 비밀번호나 중요한 정보를 몰래 빼낼 수 있는 문제입니다. 공격자가 만든 특수한 양식을 사용하면 시스템의 민감한 정보가 외부로 전송될 수 있습니다.
🇺🇸 원문 (English)
Gitleaks prior to 8.30.1 contains a template injection vulnerability that allows attackers who can supply or influence report templates to read arbitrary environment variables and exfiltrate sensitive data by leveraging non-hermetic Sprig template functions. Attackers can craft malicious report templates using the env, expandenv, and getHostByName functions to extract credentials, tokens, and API keys from the host process and exfiltrate them through DNS queries, including secrets discovered during the scan itself.
📍 영향받는 시스템
Gitleaks versions prior to 8.30.1
⚔️ 공격 벡터
공격자가 조작된 보고서 템플릿을 제공하거나 영향을 미칠 수 있는 환경을 통해 템플릿 주입 공격 수행
🛡️ 대응 방법
Gitleaks를 8.30.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 출력되는 버전이 8.30.1 미만이면 취약한 상태이며, 8.30.1 이상이면 안전합니다.
gitleaks version 2>/dev/null | grep -E '8\[0-9]\.[0-9]{2}\.[0-9]{1,3}'