CVE-2026-22004 – Git LFS 포인터 중독 (공급망)

프로그램 코드 (Bash + Python)

# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"

CVE-2026-22004 – Git LFS 포인터 중독 (공급망 공격)

개요

저장소가 Git LFS를 사용하지만 LFS 엔드포인트를 고정하지 않거나 다운로드 후 객체 해시를 검증하지 않습니다. LFS 서버를 장악한(또는 중간자 공격을 수행할 수 있는) 공격자는 대용량 파일을 악성 파일로 교체할 수 있으며, 클론 시 자동으로 다운로드되어 잠재적으로 실행될 수 있습니다.

취약점 세부 정보

유형: 공급망 / 중간자 공격
영향: 개발자 머신에서의 코드 실행.
근본 원인: Git LFS는 원격 LFS 저장소를 신뢰합니다. 포인터 파일이 수정되거나 LFS 서버가 악성인 경우, 페치된 객체가 경고 없이 예상된 해시와 다를 수 있습니다.

익스플로잇 데모

설정 스크립트를 실행하여 LFS 저장소를 생성합니다.
트로이 목마를 반환하는 악성 LFS 서버를 시뮬레이션합니다.
저장소를 클론하면 → 악성 객체가 페치됩니다.

bash create_malicious_repo.sh
# Then simulate rogue LFS server

CVE-2026-22004-Git-LFS-Pointer-Poisoning-Supply-Chain-

인기