Korrigerende udgaver af det distribuerede system til styring af kildekoder Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 og 2.50.1 er blevet offentliggjort, hvor sårbarheder er blevet rettet, som gjorde det muligt at køre sin egen kode på brugerens system ved udførelse af en kloningsoperation af et repository, der er under kontrol af en angriber.
- CVE-2025-48384 — sårbarheden skyldes, at når Git læser værdierne af konfigurationsparametre, fjerner den angivne afsluttende linjeskift-tegn (LF) og vognretur-tegn (CR), men ved skrivning af værdier til konfigurationsfilen udføres der ikke nogen undslippelse af vognretur-tegnet. Angriberen kan angive en sti ved initialisering af en submodul, hvor vognretur-tegnet er angivet i slutningen af navnet (FS i Unix-lignende OS tillader angivelse af specialtegn i fil- og mappenavne).
Fjernelsen af vognretur-tegnet ved læsning af konfigurationen vil medføre, at submodulet vil blive udtrukket til en forkert sti. Angriberen kan placere et symbolsk link på denne forkerte sti, der peger på en mappe med git hooks og placere en handler der, der kaldes efter afslutningen af checkout-operationen. Udførelsen af kommandoen «git clone —recursive» på et repository med et sådant submodul vil føre til udførelsen af koden angivet af den ondsindede.
- CVE-2025-48385 — utilstrækkelig kontrol på klientsiden af bundle-filer, der leveres serveren under kloning af repositoryet og bruges til at overføre en del af de data, der leveres via indholdsleveringssystemer (CDN). Angriberen, der kontrollerer Git-serveren, kan arrangere en download af en specielt tilpasset bundle-fil, som efter udtrækning vil blive gemt et vilkårligt sted på FS.
- CVE-2025-48386 — en Windows-specifik sårbarhed forårsaget af bufferoverflow i Wincred-håndteringen, der anvendes til at gemme legitimationsoplysninger i Windows Credential Manager.
Derudover er fire sårbarheder blevet rettet i de grafiske grænseflader Gitk og Git GUI, der er skrevet i Tcl/Tk:
- CVE-2025-27613 — åbning af et specielt tilpasset repository i Gitk kan føre til overskrivning af vilkårlige filer på filsystemet.
- CVE-2025-27614 — udførelsen af «gitk filename» på et specielt tilpasset repository kan føre til kørsel af et script forberedt af angriberen.
- CVE-2025-46334 — i Git GUI i Windows kan en angriber få koden til at køre, når brugeren udfører handlinger som 'Git Bash' eller 'Browse Files' med et repository, hvor angriberen har placeret typiske eksekverbare filer, såsom sh.exe, astextplain.exe, exif.exe og ps2ascii.exe, som kaldes under arbejdet i Git GUI.
- CVE-2025-46335 — muligheden for at oprette eller overskrive vilkårlige filer i filsystemet, når brugeren redigerer en fil i Git GUI fra en mappe med et specifikt navngivet format, udtrukket fra et repository forberedt af angriberen.
Kilde: opennet.ru
