Haavatavused Gitis, mis võimaldavad koodi täitmist välise repo pöördumise korral

On avaldati jaotatud allikate haldamise süsteemi Git versioonid 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 ja 2.50.1, milles on kõrvaldatud haavatavused, mis võimaldavad täita ründaja koodi kasutaja süsteemis, kui teostatakse rämpspostituse kloonimist.

• CVE-2025-48384 — haavatavus tuleneb sellest, et Git puhastab konfiguratsiooniparameetrite väärtuste lugemisel lõpust reavahetuse (LF) ja tagasi keeramise (CR) symbole, kuid ei tee konfiguratsioonifaili kirjutamisel tagasi keeramise sümboli escapingut. Ründaja võib submudeli initsialiseerimisel määrata tee, mille lõpus on tagasi keeramise sümbol (unix-sarnased OS-d võimaldavad spetsiaalsete sümbolite kasutamist failide ja kaustade nimedes).

  Tagasi keeramise sümboli puhastamine konfiguratsiooni lugemisel toob kaasa selle, et submudel kaevandatakse vale teega. Ründaja võib selle vale tee peal asuda sümboolne link, mis viitab katalogile git hookide jaoks ja paigutab sinna töötleja, mis kutsub esile selle pärast checkout'i operatsiooni lõppu. Käsk «git clone —recursive» sarnase submudeliga repositooriumis toob kaasa ründaja esitatud koodi käivitamise.

• CVE-2025-48385 — ebapiisav kontroll kliendi poolel bundle-failide üle, mis saadetakse serverilt koos repositooriumi kloonimisega ja mida kasutatakse CDN-ide kaudu edastatavate andmete osade edastamiseks. Ründaja, kes kontrollib Git-serverit, võib korraldada, et klient laadib alla spetsiaalselt vormindatud bundle-faili, mis pärast kaevandamist salvestatakse juhuslikku kohta failisüsteemis.
• CVE-2025-48386 — Windowsi platvormile spetsiifiline haavatavus, mis on põhjustatud pufferi ülevoolust Wincredi töötlejas, mida kasutatakse Windows Credential Manageri jaoks tõendite salvestamiseks.

Lisaks on kõrvaldatud neli haavatavust Gitki ja Git GUI graafilistes liideses, mis on kirjutatud Tcl/Tk-s:

• CVE-2025-27613 — Gitkis spetsiaalselt kujundatud repositooriumi avamine võib viia juhuslike failide üle kirjutamiseni failisüsteemis.
• CVE-2025-27614 — käsu «gitk filename» täitmine spetsiaalselt kujundatud repositooriumiga võib viia ründaja ettevalmistatud skripti käivitamiseni.
• CVE-2025-46334 — Windowsi Git GUI-s on võimalik käivitada ründaja koodi, kui kasutaja teostab tegevusi "Git Bash" või "Browse Files" repos, mille tööpuust ründaja on paigaldanud tüüpilised täitmisfailid, nagu sh.exe, astextplain.exe, exif.exe ja ps2ascii.exe, mida kutsutakse üles Git GUI töös.
• CVE-2025-46335 — võimalus luua või üle kirjutada suvaline fail failisüsteemis, kui kasutaja redigeerib Git GUI-s faili spetsiaalselt vormindatud nimega kaustast, mis on pärit ründaja valmistatud repos.

Allikas: opennet.ru