🇰🇷 한글 설명
GitHub CLI(gh) 2.97.0 미만 버전에서 HTTP 요청 URL의 경로 구성 요소가 퍼센트 인코딩 없이 처리되는 취약점이 발견되었습니다. 공격자가 제어하는 저장소 또는 리소스 값에 URL 경로 메타문자를 삽입하여 사용자가 의도하지 않은 다른 API 엔드포인트나 리소스로 요청을 유도할 수 있습니다.
💡 쉬운 설명
GitHub 명령줄 도구에서 주소를 만드는 과정에 오류가 있어, 나쁜 의도를 가진 데이터가 섞여 들어오면 엉뚱한 곳으로 명령을 보낼 수 있는 문제입니다. 이를 통해 공격자가 사용자의 권한을 이용해 다른 데이터를 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
GitHub CLI (gh) is GitHub’s official command line tool. Prior to 2.97.0, some HTTP request URLs interpolate variable path components without percent encoding, allowing URL path metacharacters in attacker-controlled repository or resource values to make gh address a different API endpoint or resource than the user intended. This issue is fixed in version 2.97.0.
📍 영향받는 시스템
GitHub CLI (gh) version 2.97.0 미만
⚔️ 공격 벡터
공격자가 제어하는 리소스 이름에 URL 특수문자를 포함시켜 API 요청 경로를 조작하는 방식
🛡️ 대응 방법
GitHub CLI를 최신 버전인 2.97.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.97.0보다 낮은지 확인하십시오.
gh --version | grep -E 'gh version [0-9]+\.[0-9]+\.[0-9]+'