CVE-2026-82253 in gitoxide
요약
\~에 의해 VulDB • 2026. 08. 28.
gitoxide(Rust crates gix <= 0.72.0 및 gix-validate <= 0.10.0)에는 경로 순회(path traversal) 취약점이 존재합니다. gix-validate의 서브모듈 이름 검증 함수는 name.find(b"..")를 통해 '..'의 첫 번째 발생 여부만 확인하므로, 'a..b/../../../.git/'와 같은 조작된 이름을 사용하여 검증을 우회할 수 있습니다. 또한 이 검증은 프로덕션 코드 경로에서 전혀 호출되지 않습니다. Submodule::open()에서의 신뢰 상속 결함(부모 저장소의 git_dir_trust(Trust::Full)가 복제되고 소유권 확인이 생략됨)과 결합되면, 공격자는 악의적인 .gitmodules 파일을 작성하여 gitoxide를 기반으로 빌드된 피해자 도구가 전체 신뢰로 임의의 Git 저장소 구성 파일(임베디드 자격 증명 포함)을 읽도록 할 수 있으며, 이는 안전한 디렉토리 보호 장치를 우회합니다. gix 0.82.0 및 gix-validate 0.11.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.