🇰🇷 한글 설명
gitoxide 0.38.2 미만 버전에서 자격 증명 도우미(credential helper)로 전달되는 URL 값의 캐리지 리턴(
) 문자를 검증하지 못하는 취약점이 발견되었습니다. 공격자가 캐리지 리턴이 포함된 URL을 제공하면 도우미 프로토콜 필드를 주입하여, 원래 요청한 호스트가 아닌 공격자가 지정한 호스트의 자격 증명을 반환하도록 유도할 수 있습니다.
💡 쉬운 설명
특수 문자가 포함된 주소를 이용해 프로그램이 엉뚱한 사이트의 비밀번호를 공격자에게 넘겨주도록 속이는 보안 결함입니다. 이를 통해 사용자의 로그인 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
gitoxide before 0.38.2 fails to validate carriage return characters in URL values passed to credential helpers. Attackers can supply URLs containing bare carriage returns to inject additional helper protocol fields and cause credential helpers to return credentials for attacker-specified hosts instead of the requested URL.
📍 영향받는 시스템
gitoxide 0.38.2 미만 모든 버전
⚔️ 공격 벡터
캐리지 리턴(
) 문자가 포함된 악의적인 URL을 통해 자격 증명 도우미 프로토콜 필드 주입
🛡️ 대응 방법
gitoxide를 0.38.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.38.2 미만인 경우 취약한 상태이며, 0.38.2 이상이면 안전합니다.
gitoxide --version 2>/dev/null | grep -E '0\.(3[0-8]|\d+)\.[0-8]'