🇰🇷 한글 설명
GitPython 3.1.58 미만 버전의 IndexFile.from_tree, IndexFile.reset, IndexFile.merge_tree 메서드에서 임의 파일 덮어쓰기 취약점이 발견되었습니다. 공격자가 조작된 treeish 문자열을 주입하여 --index-output 옵션을 실행함으로써, 공격자가 제어 가능한 경로의 기존 파일을 git-index blob으로 덮어써 파괴할 수 있습니다.
💡 쉬운 설명
GitPython 라이브러리를 사용할 때 공격자가 특수하게 조작된 명령어를 입력하면, 컴퓨터 내의 중요한 파일을 마음대로 덮어써서 내용을 망가뜨릴 수 있는 보안 약점입니다. 이로 인해 시스템의 데이터가 손실되거나 파일이 변조될 위험이 있습니다.
🇺🇸 원문 (English)
GitPython versions before 3.1.58 contain an arbitrary file overwrite vulnerability in IndexFile.from_tree, IndexFile.reset, and IndexFile.merge_tree methods that append caller-influenced treeish strings to git read-tree without option validation or argument separation. Attackers can inject the --index-output option to overwrite arbitrary files with a valid git-index blob, destroying existing file content at attacker-controlled writable paths.
📍 영향받는 시스템
GitPython versions before 3.1.58
⚔️ 공격 벡터
조작된 treeish 문자열을 주입하여 --index-output 옵션을 실행함으로써 임의 파일 덮어쓰기 수행
🛡️ 대응 방법
GitPython 라이브러리를 3.1.58 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.58보다 낮으면 취약한 상태이며, 3.1.58 이상이면 안전합니다.
pip show gitpython | grep Version