Sono stati pubblicati gli aggiornamenti correttivi del sistema di gestione distribuita dei testi sorgente Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 e 2.50.1, in cui sono state risolte delle vulnerabilità che consentivano l'esecuzione di codice arbitrario sulla macchina dell'utente durante l'operazione di clonazione di un repository controllato dall'attaccante.
- CVE-2025-48384 — la vulnerabilità è causata dal fatto che durante la lettura dei valori dei parametri di configurazione, Git rimuove i caratteri di fine riga (LF) e di ritorno a capo (CR) specificati alla fine, ma durante la scrittura dei valori nel file di configurazione non esegue l'escape del carattere di ritorno a capo. L'attaccante può specificare durante l'inizializzazione del submodulo un percorso che termina con il carattere di ritorno a capo (i file system nei sistemi operativi Unix-like consentono di utilizzare caratteri speciali nei nomi dei file e delle directory).
La pulizia del carattere di ritorno a capo durante la lettura della configurazione porterà all'estrazione del submodulo in un percorso scorretto. L'attaccante può posizionare in questo percorso scorretto un link simbolico che punta a una directory con i git hook e inserire un gestore che viene attivato dopo il completamento dell'operazione di checkout. L'esecuzione del comando «git clone —recursive» su un repository con un submodulo di questo tipo porterà all'esecuzione del codice fornito dall'aggressore.
- CVE-2025-48385 — insufficiente verifica lato client dei file bundle restituiti server durante la clonazione del repository e utilizzati per trasferire una parte dei dati restituiti tramite i sistemi di distribuzione dei contenuti (CDN). Un attaccante che controlla il server Git può organizzare il download da parte del client di un file bundle appositamente formattato, che dopo l'estrazione verrà salvato in un luogo arbitrario del file system.
- CVE-2025-48386 — vulnerabilità specifica per la piattaforma Windows causata da un overflow di buffer nel gestore Wincred, utilizzato per memorizzare le credenziali nel Windows Credential Manager.
Inoltre, sono stati risolti quattro vulnerabilità nelle interfacce grafiche Gitk e Git GUI, scritte in Tcl/Tk:
- CVE-2025-27613 — l'apertura in Gitk di un repository appositamente strutturato può portare alla sovrascrittura di file arbitrari nel file system.
- CVE-2025-27614 — eseguire «gitk filename» su un repository appositamente strutturato può portare all'attivazione di uno script preparato dall'aggressore.
- CVE-2025-46334 — in Git GUI su Windows è possibile avviare codice malevolo quando l'utente esegue azioni "Git Bash" o "Browse Files" con un repository il cui albero di lavoro contiene file eseguibili standard messi dall'attaccante, come sh.exe, astextplain.exe, exif.exe e ps2ascii.exe, invocati durante l'uso del Git GUI.
- CVE-2025-46335 — possibilità di creare o sovrascrivere un file arbitrario nel file system durante la modifica da parte dell'utente in Git GUI di un file da una directory con un nome appositamente formattato, estratto da un repository preparato dall'attaccante.
Fonte: opennet.ru
