🇰🇷 한글 설명
GitPython 3.1.60 미만 버전에서 git 디렉토리 위치를 적절히 검증하지 못하는 취약점이 발견되었습니다. 공격자는 gitdir, commondir, HEAD와 같은 파일을 조작하여 git 디렉토리를 사칭할 수 있으며, 악성 pre-commit hook을 통해 사용자가 index.commit()을 호출할 때 임의의 코드를 실행할 수 있습니다.
💡 쉬운 설명
Git 관련 도구를 사용할 때, 공격자가 만든 가짜 설정 파일을 통해 컴퓨터에 몰래 악성 프로그램을 실행시킬 수 있는 보안 약점입니다. 사용자가 평소처럼 작업을 저장하려고 할 때 공격자가 심어둔 명령어가 자동으로 실행될 위험이 있습니다.
🇺🇸 원문 (English)
GitPython before 3.1.60 fails to properly validate the git directory location, allowing attackers to impersonate the git directory using tracked files like gitdir, commondir, and HEAD. Attackers can execute arbitrary code by placing a malicious pre-commit hook in the tracked hooks directory that executes when a victim calls index.commit() on a cloned or opened repository.
📍 영향받는 시스템
GitPython versions prior to 3.1.60
⚔️ 공격 벡터
조작된 git 설정 파일 및 악성 pre-commit hook을 이용한 코드 실행
🛡️ 대응 방법
GitPython 버전을 3.1.60 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 Version이 3.1.60보다 낮으면 취약한 상태이며, 3.1.60 이상이면 안전합니다.
pip show gitpython | grep Version