🇰🇷 한글 설명
git-mcp-server 2.15.1 버전의 git_log, git_diff, git_show 도구 내 ref 및 object 매개변수에서 인자 주입 취약점이 발견되었습니다. 공격자는 대시(-)로 시작하는 유효성 검사 미비점을 악용하여 --output=와 같은 git 명령줄 옵션을 주입할 수 있으며, 이를 통해 프로세스가 접근 가능한 임의의 경로에 파일을 작성할 수 있습니다.
💡 쉬운 설명
프로그램이 사용자가 입력한 값을 제대로 검사하지 않아 발생하는 보안 문제입니다. 나쁜 의도를 가진 사람이 명령어를 교묘하게 섞어 넣으면, 컴퓨터의 중요한 위치에 몰래 파일을 만들거나 내용을 바꿀 수 있습니다.
🇺🇸 원문 (English)
git-mcp-server 2.15.1 contains an argument injection vulnerability in the ref and object parameters of git_log, git_diff, and git_show tools that lack leading-dash validation. Attackers can inject git command-line options like --output= to write files outside the repository to arbitrary paths accessible by the process.
📍 영향받는 시스템
git-mcp-server 2.15.1 이하 버전
⚔️ 공격 벡터
git_log, git_diff, git_show 도구의 매개변수에 대시(-)로 시작하는 악성 옵션을 주입하는 방식
🛡️ 대응 방법
git-mcp-server를 최신 보안 패치가 적용된 버전으로 업데이트하고, 입력값에 대한 대시(-) 접두사 검증 로직을 추가하십시오.