🇰🇷 한글 설명
flatpak-builder에서 use-git-am: true 옵션을 사용하여 패치 소스를 적용할 때 Git hooks가 비활성화되지 않는 결함이 발견되었습니다. 공격자가 악성 Git post-applypatch hook이 포함된 소스를 제공할 경우, 빌드 과정 중 호스트 시스템에서 임의의 코드가 실행되어 사용자 권한을 탈취할 수 있습니다.
💡 쉬운 설명
프로그램을 만드는 도구인 flatpak-builder가 나쁜 의도를 가진 파일을 가져올 때, 그 안에 숨겨진 명령어를 자동으로 실행해버리는 문제입니다. 이를 통해 해커가 사용자의 컴퓨터에서 몰래 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in flatpak-builder where Git hooks are not disabled when applying patch sources with use-git-am: true. An attacker who can provide a malicious source containing a Git post-applypatch hook can cause the hook to execute on the host during the build process, resulting in arbitrary code execution with the privileges of the user running flatpak-builder.
📍 영향받는 시스템
flatpak-builder (use-git-am: true 옵션을 사용하는 모든 버전)
⚔️ 공격 벡터
악성 Git post-applypatch hook이 포함된 소스 코드를 빌드 프로세스에 유입시켜 실행
🛡️ 대응 방법
flatpak-builder를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 신뢰할 수 없는 소스의 빌드를 금지함
🔧 검증 코드
출력된 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 보안 공지사항과 대조하여 확인합니다.
flatpak-builder --version