🇰🇷 한글 설명
GitPython 3.1.58 미만 버전에서 .gitmodules 파일의 서브모듈 이름을 검증하지 못하는 취약점이 발견되었습니다. 공격자는 경로 탐색(Traversal) 시퀀스가 포함된 악성 서브모듈 이름을 사용하여 의도된 디렉터리 외부의 임의 경로에 Git 저장소를 생성할 수 있습니다.
💡 쉬운 설명
Git 도구를 사용할 때 파일 이름에 특수 문자를 섞어 넣으면, 프로그램이 정해진 폴더가 아닌 컴퓨터의 엉뚱한 위치에 파일을 만들 수 있는 문제입니다. 이를 통해 공격자가 시스템의 중요한 위치에 악성 파일을 심을 위험이 있습니다.
🇺🇸 원문 (English)
GitPython before 3.1.58 fails to validate submodule names from .gitmodules files, allowing attackers to create Git repositories at arbitrary filesystem paths outside the intended clone directory. Attackers can craft malicious repositories with traversal sequences in submodule names that GitPython processes during submodule initialization, creating attacker-controlled Git repositories at escaped filesystem locations.
📍 영향받는 시스템
GitPython 3.1.58 미만 모든 버전
⚔️ 공격 벡터
조작된 .gitmodules 파일 내의 서브모듈 이름을 이용한 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
GitPython을 3.1.58 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 3.1.58 미만이면 취약한 상태이며, 3.1.58 이상이면 안전합니다.
pip show gitpython | grep Version