🇰🇷 한글 설명
GitPython 3.1.55 미만 버전에서 Remote.create() 및 Submodule.add()의 URL 처리 시 환경 변수 확장을 비활성화하지 못하는 취약점이 존재합니다. 공격자는 환경 변수 토큰이 포함된 URL을 제공하여 .git/config 및 .gitmodules에 비밀 정보를 노출시킨 뒤, fetch 또는 pull 작업 시 이를 공격자 서버로 탈취할 수 있습니다.
💡 쉬운 설명
Git 도구를 사용할 때 악의적인 주소를 입력하면 컴퓨터에 저장된 중요한 비밀번호나 설정값이 몰래 외부로 전송될 수 있는 문제입니다. 공격자가 만든 특수한 주소를 통해 시스템 내부의 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
GitPython before 3.1.55 fails to disable environment variable expansion in Remote.create() and Submodule.add() URL handling, allowing attackers to exfiltrate secrets by supplying URLs containing variable references. Attackers can craft URLs with environment variable tokens that are expanded into .git/config and .gitmodules, then transmitted to attacker-controlled hosts during fetch or pull operations.
📍 영향받는 시스템
GitPython 3.1.55 미만 모든 버전
⚔️ 공격 벡터
환경 변수 참조가 포함된 악의적인 URL을 Remote.create() 또는 Submodule.add() 함수에 전달하여 정보 유출
🛡️ 대응 방법
GitPython 라이브러리를 3.1.55 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.55보다 낮으면 취약한 상태입니다.
pip show gitpython | grep Version