CVE-2023-22490

요약

Git은 개정 관리 시스템입니다. 특수하게 제작된 저장소를 사용하면, 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7, 2.30.8 이전 버전의 Git은 비로컬 전송을 사용할 때에도 로컬 클론 최적화를 사용하도록 속일 수 있습니다. Git은 소스 `$GIT_DIR/objects` 디렉터리에 심볼릭 링크가 포함된 로컬 클론을 중단하지만, `objects` 디렉터리 자체는 여전히 심볼릭 링크일 수 있습니다. 이 두 가지를 결합하면 피해자 파일 시스템의 알려진 경로를 기반으로 한 임의의 파일을 악성 저장소의 작업 복사본에 포함시킬 수 있으며, 이는 CVE-2022-39253과 유사한 방식으로 데이터 유출을 허용합니다. 수정 사항이 준비되었으며 v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 및 v2.30.8에 포함될 예정입니다. 업그레이드가 어려운 경우 두 가지 단기 해결 방법이 있습니다. 신뢰할 수 없는 소스의 저장소를 `--recurse-submodules` 옵션과 함께 클론하지 마십시오. 대신 하위 모듈을 재귀적으로 클론하지 않고 저장소를 클론한 다음, 각 계층에서 `git submodule update`를 실행하는 것을 고려하십시오. 그렇게 하기 전에 각각의 새 `.gitmodules` 파일을 검사하여 의심스러운 모듈 URL이 포함되어 있지 않은지 확인하십시오.

• CVE-2023-22490_PoCPoC

  CVE-2023-22490에 대한 개념 증명 익스플로잇으로, 취약점을 시연하고 보안 테스트 및 검증을 위한 작동하는 익스플로잇을 제공합니다.