checkout-index - CVE-2025-22620 재현기

이것은 RUSTSEC-2025-0001 (CVE-2025-22620, GHSA-fqmf-w4xh-33rh에 대한 개념 증명 코드입니다. 이는 권고에 있는 코드와 동일하지만, Cargo.toml과 Cargo.lock이 포함된 Rust 프로젝트 형태입니다.

이 저장소는 권고를 작성하는 동안 유용했으며, 가끔 다른 사람들에게도 유용할 수 있을 것이라고 생각했습니다. 그러나 이것은 권고보다 관심이 훨씬 적을 것으로 예상하며, 또한 권고의 정보를 대체하는 것은 아닙니다. 권고에 명시된 대로, 이 취약점은 gix-worktree-state 0.17.0에서 수정되었습니다.

브랜치

• main 브랜치는 권고의 2단계에 제시된 코드 버전을 포함합니다.
• unaffected-case 브랜치는 destination_is_initially_empty: true를 명시적으로 설정했을 때의 효과를 보여주기 위해 7단계에서 설명된 수정 사항을 포함합니다.
• patched-version 브랜치는 전이적 gix-worktree-state 의존성의 0.17.0 버전을 포함한 업데이트된 의존성을 사용합니다. 이는 취약점이 수정되었음을(그리고 취약하지 않은 동작이 어떤 모습인지) 보여주기 위한 것입니다.

main 및 unaffected-case 브랜치는 취약한 gix-worktree-state 버전이 사용될 때 취약한 동작이 관찰되는 중요한 경우와 관찰되지 않는 경우를 입증하기 위해 의도적으로 취약한 의존성 버전을 사용합니다.

라이선스

CC0-1.0, RUSTSEC 권고와 동일합니다.