🇰🇷 한글 설명
gitoxide의 gix-url 크레이트가 RFC 3986 표준을 준수하지 않는 URL 파서를 사용하여, '?'나 '#'를 권한 구성 요소의 종료 지점으로 처리하지 못하는 취약점이 발견되었습니다. 이로 인해 gix-transport의 HTTP 리다이렉트 인증 보호 기능이 잘못된 호스트를 비교하게 되어, 공격자가 조작한 리다이렉트 응답을 통해 사용자의 HTTP Basic 인증 정보를 의도하지 않은 호스트로 전송할 수 있습니다.
💡 쉬운 설명
웹사이트 주소를 해석하는 과정에서 규칙을 잘못 적용하여 발생하는 보안 문제입니다. 공격자가 만든 가짜 주소로 연결될 때, 사용자의 로그인 정보가 공격자에게 몰래 전달될 수 있습니다.
🇺🇸 원문 (English)
gitoxide's gix-url crate (<= 0.32.0, fixed in 0.37.1) uses a hand-rolled URL parser that does not treat '?' or '#' as terminating the authority component, contrary to RFC 3986. As a consequence, gix-transport's HTTP redirect identity guard (can_reuse_identity) compares the wrong host and fails open. An attacker controlling a redirect response can craft a Location header of the form <attacker-authority>?@<original-authority> so that gitoxide sends the caller's HTTP Basic Authorization credentials to an unintended host. gix-transport is affected in versions <= 0.49.0 (fixed in 0.58.1).
📍 영향받는 시스템
gix-url <= 0.32.0, gix-transport <= 0.49.0
⚔️ 공격 벡터
공격자가 조작된 Location 헤더를 포함한 HTTP 리다이렉트 응답을 전송하여 인증 정보를 탈취
🛡️ 대응 방법
gix-url을 0.37.1 이상으로, gix-transport를 0.58.1 이상으로 업데이트
🔧 검증 코드
출력된 패키지 버전이 취약한 버전 범위(gix-url <= 0.32.0 또는 gix-transport <= 0.49.0)에 해당하는지 확인
cargo pkgid | grep -E 'gix-url|gix-transport'