🇰🇷 한글 설명
GitPython 3.1.60 미만 버전에서 커밋 작성자 및 커미터 필드를 처리하는 Actor.name_email_regex 정규 표현식에 정규 표현식 서비스 거부(ReDoS) 취약점이 존재합니다. 공격자가 종료되지 않은 꺽쇠괄호가 포함된 악의적인 작성자 필드를 가진 커밋 객체를 생성하면, 이차 백트래킹이 발생하여 CPU 자원을 고갈시킬 수 있습니다.
💡 쉬운 설명
특수하게 조작된 커밋 정보를 읽을 때 컴퓨터가 계산을 끝내지 못하고 무한 루프에 빠져 멈추게 만드는 공격입니다. 이로 인해 서버의 CPU 사용량이 급증하여 서비스가 느려지거나 중단될 수 있습니다.
🇺🇸 원문 (English)
GitPython before 3.1.60 contains a regular expression denial of service vulnerability in Actor.name_email_regex that processes commit author and committer fields. Attackers can craft a commit object with a malformed author field containing an unterminated angle bracket to cause quadratic backtracking, exhausting CPU resources for over two minutes per commit access.
📍 영향받는 시스템
GitPython 3.1.60 미만 모든 버전
⚔️ 공격 벡터
악의적으로 조작된 작성자(author) 필드가 포함된 커밋 객체를 시스템에 전달하여 처리 유도
🛡️ 대응 방법
GitPython을 3.1.60 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.1.60보다 낮으면 취약한 상태입니다.
pip show gitpython | grep Version