CVE-2025-26625 in Git LFS
요약
\~에 의해 VulDB • 2026. 07. 31.
Git LFS는 대용량 파일의 버전 관리를 위한 Git 확장 프로그램입니다. Git LFS 0.5.2부터 3.7.0까지의 버전에서, Git 저장소의 작업 디렉토리(worktree)를 Git LFS 객체의 내용으로 채울 때, 심볼릭 링크나 하드 링크가 존재하여 Git LFS로 추적되는 파일 경로와 충돌하는 경우, 특정 Git LFS 명령어가 현재 Git 작업 디렉토리 외부에 보이는 파일에 데이터를 쓸 수 있습니다. `git lfs checkout` 및 `git lfs pull` 명령어는 작업 디렉토리의 파일에 쓰기 전에 심볼릭 링크 여부를 확인하지 않으므로, 공격자는 이러한 명령어를 실행하는 사용자에게 접근 가능한 임의의 파일 시스템 위치에 Git LFS가 쓰도록 유도할 수 있는 심볼릭 또는 하드 링크를 포함하도록 저장소를 조작할 수 있습니다. 또한 `git lfs checkout` 및 `git lfs pull` 명령어가 비어있는 저장소(bare repository)에서 실행될 경우, 저장소 외부에 보이는 파일에 데이터를 쓸 수도 있습니다. 이 취약점은 버전 3.7.1에서 수정되었습니다. 우회 조치로 Git의 심볼릭 링크 지원을 `core.symlinks` 구성 옵션을 false로 설정하여 비활성화할 수 있으며, 이후 클론 및 페치 작업에서는 심볼릭 링크가 생성되지 않습니다. 그러나 기존 저장소에 있는 모든 심볼릭 또는 하드 링크는 여전히 Git LFS가 해당 대상에 데이터를 쓸 기회를 제공할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.