🇰🇷 한글 설명
gitoxide 0.25.4 버전부터 curl 기반 전송 백엔드에서 HTTP 자격 증명이 유출되는 취약점이 발견되었습니다. 리다이렉트 발생 시 유효한 URL이 아닌 원래의 URL을 기준으로 자격 증명을 검증하기 때문에, 공격자가 제어하는 서버로 인증 토큰이 전송될 수 있습니다.
💡 쉬운 설명
인터넷 주소가 자동으로 바뀌는 과정에서 사용자의 비밀번호나 인증 정보가 엉뚱한 해커의 서버로 전달될 수 있는 문제입니다. 해커가 만든 가짜 사이트로 연결되도록 유도하면 소중한 로그인 정보를 훔칠 수 있습니다.
🇺🇸 원문 (English)
gitoxide versions from 0.25.4 contain an HTTP credential leak vulnerability in the curl-based transport backend where credentials are sent to attacker-controlled servers after HTTP redirects. The vulnerability occurs because credential validation checks the original URL instead of the effective URL after redirect, allowing attackers to steal authentication tokens through cross-domain redirects or HTTPS-to-HTTP downgrades.
📍 영향받는 시스템
gitoxide versions 0.25.4 and below
⚔️ 공격 벡터
HTTP 리다이렉트 또는 HTTPS-to-HTTP 다운그레이드를 이용한 교차 도메인 인증 토큰 탈취
🛡️ 대응 방법
gitoxide를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.25.4와 같거나 그보다 낮은지 확인하십시오.
cargo pkgid gitoxide 2>/dev/null | grep -oE 'gitoxide@([0-9]+\.[0-9]+\.[0-9]+)'