🇰🇷 한글 설명
gitoxide 0.52.1 미만 버전에서 .gitmodules 설정의 서브모듈 이름을 검증하지 못하는 취약점이 발견되었습니다. 공격자가 경로 탐색 문자가 포함된 악의적인 서브모듈 이름을 생성하면, git 디렉토리 경로를 조작하여 공격자가 제어하는 외부 저장소를 참조하게 만들 수 있습니다.
💡 쉬운 설명
프로그램이 서브모듈의 이름을 확인할 때 보안 검사를 제대로 하지 않아 발생하는 문제입니다. 이를 통해 해커는 원래 있어야 할 폴더가 아닌 엉뚱한 폴더를 읽게 만들어 시스템을 혼란에 빠뜨릴 수 있습니다.
🇺🇸 원문 (English)
gitoxide before 0.52.1 fails to validate submodule names from .gitmodules configuration, allowing path traversal when deriving submodule git directories. Attackers can craft malicious submodule names with traversal segments to redirect state() and open() functions to repositories outside .git/modules, causing repository confusion and inspection of attacker-controlled repositories.
📍 영향받는 시스템
gitoxide 0.52.1 미만 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 .gitmodules 파일 내의 서브모듈 이름을 통한 경로 탐색(Path Traversal) 공격
🛡️ 대응 방법
gitoxide를 0.52.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.52.1보다 낮은지 확인하십시오.
cargo pkgid gitoxide 2>/dev/null | grep -oE 'gitoxide@v[0-9]+\.[0-9]+\.[0-9]+'