Megjelentek a Git elosztott forráskezelő rendszerének kiigazító kiadásai: 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 és 2.50.1, amelyekben a felhasználói rendszer kódjának végrehajtását lehetővé tevő sebezhetőségeket javítottak, amelyek a repository klónozása során léphetnek fel, ha az támadó irányítása alatt áll.
- CVE-2025-48384 — a sebezhetőséget az okozza, hogy a Git a konfigurációs paraméterek értékeinek olvasásakor eltávolítja a sortörést (LF) és a visszatérő karaktert (CR), de a konfigurációs fájlba történő írás során nem végzi el a visszatérő karakter szekvenciájának leképzését. A támadó megadhat egy olyan útvonalat a szubmodul inicializálásakor, amelynek végén visszatérő karakter található (a Unix-szerű OS-ek lehetővé teszik speciális karakterek alkalmazását a fájlok és könyvtárak neveiben).
A konfig fájlok olvasása során a visszatérő karakterek törlése miatt a szubmodul egy helytelen úton kerül kinyerésre. A támadó ezen a hibás úton létrehozhat egy szimbolikus hivatkozást, amely a git hook-okkal teli könyvtárra mutat, és elhelyezhet benne egy feldolgozót, amely a checkout művelet befejezése után végrehajtódik. A „git clone —recursive” parancs ilyen szubmodullal rendelkező repository-ra történő futtatása a támadó által megadott kód végrehajtásához vezet.
- CVE-2025-48385 — elégtelen ellenőrzés a bundel fájlok ügyféloldali kezelésénél, amelyek a repository klónozásakor kerülnek átadásra szerverrel az adatok átadásához használt tartalomelosztó rendszereken (CDN). A támadó, aki irányítja a Git szervert, meg tudja szervezni egy külön keményítéssel ellátott bundle fájl letöltését a kliens számára, amely a kibővített állapotában tetszőleges helyre kerül a fájlrendszerben.
- CVE-2025-48386 — a Windows platformra jellemző sebezhetőség, amely a Wincred kezelőben a puffertúlcsordulás által okozott, amelyet a hitelesítő adatok Windows Credential Manager-be történő tárolásához használnak.
Ezen kívül négy sebezhetőséget is javítottak a Tcl/Tk nyelven írt Gitk és Git GUI grafikus felületekben:
- CVE-2025-27613 — egy különösen formázott repository megnyitása a Gitk-ban tetszőleges fájlok felülírásához vezethet a fájlrendszerben.
- CVE-2025-27614 — a „gitk filename” parancs végrehajtása egy különösen formázott repository esetén a támadó által előkészített szkript futtatásához vezethet.
- CVE-2025-46334 — a Windows Git GUI allows an attacker to execute code by performing 'Git Bash' or 'Browse Files' actions on a repository that contains malicious executables like sh.exe, astextplain.exe, exif.exe, and ps2ascii.exe in its working tree.
- CVE-2025-46335 — the ability to create or overwrite arbitrary files in the filesystem when a user edits a file in Git GUI from a directory with a specially crafted name extracted from a repository prepared by an attacker.
Forrás: opennet.ru
