🇰🇷 한글 설명
GitPython 3.1.52 미만 버전의 Repo.clone_from() 함수에서 환경 변수 유출 취약점이 발견되었습니다. 공격자가 제어하는 원격 URL에 환경 변수 토큰($NAME 등)을 포함할 경우, os.path.expandvars()에 의해 실제 비밀 정보로 치환되어 공격자의 서버로 전송될 수 있습니다.
💡 쉬운 설명
악의적인 주소를 통해 Git 저장소를 복제할 때, 컴퓨터에 저장된 중요한 비밀번호나 인증 키가 몰래 공격자에게 전송될 수 있는 문제입니다. 주소 안에 특수한 기호를 넣어 시스템의 정보를 빼내는 방식입니다.
🇺🇸 원문 (English)
GitPython before 3.1.52 is vulnerable to environment-variable exfiltration in Repo.clone_from(). The caller-supplied remote URL is passed through Git.polish_url(), which on non-Cygwin platforms calls os.path.expandvars() on the URL before invoking git clone. An attacker who controls the clone URL can embed $NAME or ${NAME} tokens that are expanded to the values of the hosting process's environment variables (e.g., AWS_SECRET_ACCESS_KEY or GITHUB_TOKEN). The resulting URL, now containing the secret, is transmitted over the network to an attacker-controlled host during the clone attempt, disclosing the secret.
📍 영향받는 시스템
GitPython versions before 3.1.52
⚔️ 공격 벡터
공격자가 조작된 URL을 입력값으로 제공하여 환경 변수를 확장시키고 네트워크를 통해 탈취
🛡️ 대응 방법
GitPython 버전을 3.1.52 이상으로 업데이트
🔧 검증 코드
출력된 Version이 3.1.52보다 낮으면 취약한 상태입니다.
pip show GitPython | grep Version