
CVE-2020-27955에 대한 Go 기반 익스플로잇으로, Windows에서 Git LFS를 통해 Git, VS Code, GitHub Desktop 등 여러 개발 도구에서 원격 코드 실행을 달성합니다.
Dawid Golunski 발견
Windows에서 테스트 완료:
git, GitHub CLI (gh), GitHub Desktop, Visual Studio Code, SourceTree, SmartGit, GitKraken 등
사실상 Windows 개발자 전 세계 ;)
자세한 내용과 패치 정보는 전체 권고를 확인하세요:
동영상 PoC:
LFS가 활성화된 저장소에 이미 있는 이 익스플로잇의 BAT / Powershell 버전도 있습니다:
.;lc'
.,cdkkOOOko;.
.,lxxkkkkOOOO000Ol'
.':oxxxxxkkkkOOOO0000KK0x:'
.;ldxxxxxxxxkxl,.'lk0000KKKXXXKd;.
':oxxxxxxxxxxo;. .:oOKKKXXXNNNNOl.
'';ldxxxxxdc,. ,oOXXXNNNXd;,.
.ddc;,,:c;. ,c: .cxxc:;:ox:
.dxxxxo, ., ,kMMM0:. ., .lxxxxx:
.dxxxxxc lW. oMMMMMMMK d0 .xxxxxx:
.dxxxxxc .0k.,KWMMMWNo :X: .xxxxxx:
.dxxxxxc .xN0xxxxxxxkXK, .xxxxxx:
.dxxxxxc lddOMMMMWd0MMMMKddd. .xxxxxx:
.dxxxxxc .cNMMMN.oMMMMx' .xxxxxx:
.dxxxxxc lKo;dNMN.oMM0;:Ok. 'xxxxxx:
.dxxxxxc ;Mc .lx.:o, Kl 'xxxxxx:
.dxxxxxdl;. ., .. .;cdxxxxxx:
.dxxxxxxxxxdc,. 'cdkkxxxxxxxx:
.':oxxxxxxxxxdl;. .;lxkkkkkxxxxdc,.
.;ldxxxxxxxxxdc, .cxkkkkkkkkkxd:.
.':oxxxxxxxxx.ckkkkkkkkxl,.
.,cdxxxxx.ckkkkkxc.
.':odx.ckxl,.
.,.'.
https://exploitbox.io https://twitter.com/Exploit_Box
계속 지켜봐 주세요