Se han publicado versiones correctivas del sistema de gestión de código fuente distribuido Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 y 2.50.1, que corrigen vulnerabilidades que permiten a un atacante ejecutar su propio código en el sistema del usuario al clonar un repositorio controlado por el atacante.
- CVE-2025-48384 — La vulnerabilidad se debe a que, al leer los valores de los parámetros de configuración, Git borra los caracteres de salto de línea (LF) y retorno de carro (CR) al final, pero no los escapa al escribir valores en el archivo de configuración. Un atacante puede especificar una ruta con un retorno de carro al final del nombre al inicializar un submódulo (los sistemas de archivos en sistemas operativos tipo Unix permiten especificar caracteres especiales en los nombres de archivos y directorios).
Borrar el retorno de carro al leer la configuración provocará que el submódulo se extraiga en una ruta no válida. Un atacante puede colocar un enlace simbólico en esta ruta no válida que apunte a un directorio con ganchos de Git y colocar en él un controlador que se invoque tras completar la extracción. Ejecutar "git clone --recursive" en un repositorio con dicho submódulo provocará la ejecución del código del atacante.
- CVE-2025-48385: Validación insuficiente del lado del cliente de los archivos del paquete entregados servidor Durante la clonación de repositorios y para transferir algunos datos a través de sistemas de entrega de contenido (CDN), un atacante que controle un servidor Git puede hacer que un cliente descargue un archivo de paquete especialmente diseñado que, tras su extracción, se guardará en una ubicación arbitraria del sistema de archivos.
- CVE-2025-48386 - Específico de la plataforma Windows una vulnerabilidad de desbordamiento de búfer en el controlador Wincred utilizado para almacenar credenciales en Windows Gestor de credenciales.
Además, se han corregido cuatro vulnerabilidades en las interfaces gráficas Gitk y Git GUI escritas en Tcl/Tk:
- CVE-2025-27613: Abrir un repositorio especialmente diseñado en Gitk puede provocar que se sobrescriban archivos arbitrarios en el sistema de archivos.
- CVE-2025-27614: Al ejecutar "gitk filename" en un repositorio especialmente diseñado, puede producirse la ejecución de un script creado por un atacante.
- CVE-2025-46334 - en Git GUI en Windows Es posible organizar el lanzamiento de código malicioso cuando el usuario realiza las acciones "Git Bash" o "Explorar archivos" con un repositorio, en cuyo árbol de trabajo el atacante ha colocado archivos ejecutables típicos, como sh.exe, astextplain.exe, exif.exe y ps2ascii.exe, que se llaman durante el funcionamiento de la interfaz gráfica de usuario de Git.
- CVE-2025-46335 - Es posible crear o sobrescribir un archivo arbitrario en el FS cuando un usuario edita un archivo en la GUI de Git desde un directorio con un nombre especialmente formateado, extraído de un repositorio preparado por el atacante.
Fuente: opennet.ru
