🇰🇷 한글 설명
gitoxide 0.52.1 미만 버전에서 .gitmodules 파일을 읽을 때 심볼릭 링크를 따라가는 취약점이 존재합니다. 공격자는 이를 이용해 저장소 외부의 파일을 서브모듈 메타데이터로 주입하여 이름, 경로, URL 값을 조작할 수 있습니다.
💡 쉬운 설명
프로그램이 파일 경로를 읽을 때 가짜 연결 통로(심볼릭 링크)를 따라가 외부 파일을 읽어버리는 문제입니다. 이를 통해 공격자는 저장소 외부의 정보를 가짜 설정값으로 속여서 시스템에 전달할 수 있습니다.
🇺🇸 원문 (English)
gitoxide before 0.52.1 follows symlinks when reading the worktree .gitmodules file, allowing attackers to inject out-of-repository bytes into submodule metadata. Attackers can create a malicious repository with a symlinked .gitmodules pointing outside the repository tree, causing gitoxide to parse arbitrary external files as submodule configuration and expose attacker-controlled name, path, and url values.
📍 영향받는 시스템
gitoxide 0.52.1 미만 모든 버전
⚔️ 공격 벡터
악성 저장소 내에 외부 파일을 가리키는 .gitmodules 심볼릭 링크를 생성하여 메타데이터 주입
🛡️ 대응 방법
gitoxide를 0.52.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.52.1보다 낮은지 확인하십시오.
cargo list | grep gitoxide || gitoxide --version 2>/dev/null | grep -E '0\.[0-9]+\.[0-9]+'