Byly zveřejněny opravy pro distribuovaný systém správy zdrojového kódu Git verze 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 a 2.50.1, které odstranily zranitelnosti umožňující útočníkovi vykonat svůj kód na systému uživatele při klonování repozitáře, který je pod kontrolou útočníka.
- CVE-2025-48384 — zranitelnost je způsobena tím, že při čtení hodnot konfiguračních parametrů Git odstraňuje uvedené na konci znaky nového řádku (LF) a návratu vozíku (CR), ale při zápisu hodnot do konfiguračního souboru neprovádí escapování znaku návratu vozíku. Útočník může při inicializaci submodulu uvést cestu, jejíž jméno končí znakem návratu vozíku (FS v unixových systémech umožňují uvádět speciální znaky v názvech souborů a adresářů).
Odstranění znaku návratu vozíku při čtení konfigurace povede k tomu, že submodul bude vytažen na nesprávnou cestu. Útočník může umístit na tuto nesprávnou cestu symbolický odkaz, který ukazuje na adresář s git hooky a umístit do něj zpracovatele, který bude vyvolán po dokončení operace checkout. Vykonání příkazu „git clone —recursive“ nad repozitářem s takovým submodulem povede k vykonání kódu, který uvedl útočník.
- CVE-2025-48385 — nedostatečná kontrola na straně klienta bundle-souborů odesílaných serverem při klonování repozitáře a používaných pro přenos části odesílaných dat prostřednictvím systémů dodávání obsahu (CDN). Útočník, který ovládá Git-server, může uspořádat stažení speciálně upraveného bundle-souboru klientem, který bude uložen na libovolném místě ve FS po jeho vytažení.
- CVE-2025-48386 — specifická pro platformu Windows zranitelnost způsobená přetečením vyrovnávací paměti ve zpracovateli Wincred, používaném pro ukládání pověření v Windows Credential Manager.
Kromě toho bylo odstraněno čtyři zranitelnosti v grafických rozhraních Gitk a Git GUI, napsaných v Tcl/Tk:
- CVE-2025-27613 — otevření speciálně upraveného repozitáře v Gitk může vést k přepsání libovolných souborů v souborovém systému.
- CVE-2025-27614 — při provádění příkazu „gitk filename“ na speciálně vytvořeném repozitáři může dojít k provedení skriptu připraveného útočníkem.
- CVE-2025-46334 — v Git GUI na Windows lze zorganizovat spuštění kódu útočníka při provádění akcí „Git Bash“ nebo „Browse Files“ uživatelem v repozitáři, jehož pracovní strom obsahuje typové spustitelné soubory, jako jsou sh.exe, astextplain.exe, exif.exe a ps2ascii.exe, volané během práce s Git GUI.
- CVE-2025-46335 — možnost vytvořit nebo přepsat libovolný soubor v FS při úpravě souboru uživatelem v Git GUI, který se nachází ve speciálně pojmenovaném adresáři vytaženém z repozitáře připraveného útočníkem.
Zdroj: opennet.ru
