AI 요약
P2P·로컬 우선 Git 협업 스택인 Radicle의 네트워크 프로토콜에서 두 가지 치명적 취약점이 공개됐다. 첫째, 노드 간 트래픽이 암호화·인증되지 않아 경로 상의 공격자가 평문 데이터를 읽을 수 있다. 둘째, 핸드셰이크의 피어 인증이 깨져 허용 목록에 있는 Node ID를 사칭해 프라이빗 저장소를 직접 가져올 수 있다. 두 결함을 결합하면 경로 상 공격자가 Node ID를 관찰한 뒤 저장소 전체를 탈취할 수 있어, 수정 버전이 나올 때까지 프라이빗 저장소 사용 중단이 권고된다.
핵심 포인트
- 영향 범위: 지금까지 출시된 모든 Radicle 버전
- 평문 전송 취약점은 2026-06-24 Konstantinos Maninakis가 제보
- 피어 인증 우회는 2026-08-12 cryptocode가 제보, 업스트림 PR로 수정 제안
- 와이어 호환 불가로 하위 호환 완화 불가, 메이저 버전 범프 필요
향후 전망
- 수정 릴리스는 메이저 버전 업으로 배포될 예정이며 현재 작업 진행 중
- 프라이빗 저장소 사용자들은 수정판 공개 전까지 사용 중단 필요