🇰🇷 한글 설명
isomorphic-git 1.42.0 미만 버전의 getRemoteInfo 함수에서 프로토타입 오염 취약점이 발견되었습니다. 공격자가 조작된 ref 이름을 가진 Git 서버를 운영할 경우, Object.prototype을 오염시켜 네트워크 작업을 공격자의 프록시로 우회시키고 사용자 인증 정보를 탈취할 수 있습니다.
💡 쉬운 설명
나쁜 의도를 가진 Git 서버에 접속하면, 서버가 특수한 이름을 보내 사용자의 프로그램 설정을 몰래 바꿀 수 있습니다. 이로 인해 사용자의 비밀번호나 인증 정보가 해커에게 전송될 위험이 있습니다.
🇺🇸 원문 (English)
isomorphic-git before 1.42.0 contains a prototype pollution vulnerability in the getRemoteInfo function that allows a malicious Git server operator to pollute Object.prototype by advertising crafted ref names containing '__proto__' path segments during ref negotiation. Attackers controlling a Git server can advertise a specially crafted ref such as '__proto__/corsProxy' to reroute all subsequent network operations through an attacker-controlled proxy, causing isomorphic-git to invoke the victim's onAuth callback and transmit credentials to the attacker when the victim calls getRemoteInfo with an attacker-supplied URL.
📍 영향받는 시스템
isomorphic-git version < 1.42.0
⚔️ 공격 벡터
조작된 ref 이름을 포함한 악성 Git 서버를 통한 프로토타입 오염 공격
🛡️ 대응 방법
isomorphic-git 라이브러리를 1.42.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.42.0 미만인지 확인하십시오.