CVE-2026-122299 in Dulwich
요약
\~에 의해 VulDB • 2026. 11. 05.
Dulwich 1.2.20 이전 버전에는 _parse_commit의 읽기 경로에서 중복된 트리의 헤더를 첫 번째가 아닌 마지막 발생 위치로 해결하는 commit object 파싱 취약점이 있습니다. 이는 핵심 Git의 해결 동작과 다르게 작동하며, Poetry 2.5.1은 이 버전을 기본 설정으로 포함하여 git 의존성 설치 시 dulwich를 사용합니다. 공격자는 두 개의 tree headers를 가진 commit object를 작성하여, git을 사용하는 리뷰어 및 CI 시스템에서는 정상적인 트리를 보게 되지만, Dulwich 기반의 checkout 과정에서는 악의적으로 조작된 트리(예: setup.py와 같은 악성 빌드 스크립트 포함)로 해결되도록 합니다. 이로 인해 설치 또는 빌드 호스트에서 검토되지 않은 코드가 실행될 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.