Sono stati pubblicati aggiornamenti correttivi per il sistema di controllo delle versioni Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 e 2.50.1, che risolvono vulnerabilità che consentono l'esecuzione di codice da parte di un attaccante sul sistema dell'utente durante l'operazione di clonazione di un repository controllato dall'attaccante.
- CVE-2025-48384 — la vulnerabilità è causata dal fatto che, durante la lettura dei valori dei parametri di configurazione, Git rimuove i caratteri di fine riga (LF) e ritorno a capo (CR) specificati alla fine, ma non esegue l'escape del carattere di ritorno a capo durante la scrittura dei valori nel file di configurazione. L'attaccante può specificare, durante l'inizializzazione del sottomodulo, un percorso finale nel nome contenente un carattere di ritorno a capo (i filesystem nei sistemi Unix-like consentono caratteri speciali nei nomi di file e directory).
La pulizia del carattere di ritorno a capo durante la lettura della configurazione porterà a un'estrazione del sottomodulo in un percorso errato. Un attaccante può collocare, in questo percorso errato, un collegamento simbolico che punta a una cartella contenente git hook e posizionare al suo interno un gestore che verrà chiamato dopo il completamento dell'operazione di checkout. L'esecuzione del comando «git clone —recursive» su un repository con un sottomodulo simile porterà all'esecuzione di codice specificato dall'attaccante.
- CVE-2025-48385 — insufficiente verifica lato client dei file bundle forniti server durante la clonazione del repository e utilizzati per la trasmissione di parte dei dati forniti tramite sistemi di distribuzione dei contenuti (CDN). Un attaccante che controlla il server Git può organizzare il download da parte del cliente di un file bundle appositamente creato, che dopo l'estrazione verrà salvato in un luogo arbitrario del file system.
- CVE-2025-48386 — vulnerabilità specifica per piattaforme Windows causata da overflow del buffer nel gestore Wincred, utilizzato per memorizzare le credenziali nel Windows Credential Manager.
Inoltre, sono state riparate quattro vulnerabilità nelle interfacce grafiche Gitk e Git GUI, scritte in Tcl/Tk:
- CVE-2025-27613 — l'apertura di un repository appositamente formattato in Gitk può portare alla sovrascrittura di file arbitrari nel file system.
- CVE-2025-27614 — l'esecuzione di «gitk filename» su un repository appositamente formattato può portare all'esecuzione di uno script preparato dall'attaccante.
- CVE-2025-46334 — in Git GUI su Windows è possibile avviare codice dell'attaccante quando l'utente esegue le operazioni «Git Bash» o «Browse Files» su un repository che contiene file eseguibili standard forniti dall'attaccante, come sh.exe, astextplain.exe, exif.exe e ps2ascii.exe, che vengono chiamati durante l'uso di Git GUI.
- CVE-2025-46335 — è possibile creare o sovrascrivere file arbitrari nel file system quando l'utente modifica un file in Git GUI da una directory con un nome appositamente formattato, estratto da un repository preparato dall'attaccante.
Fonte: opennet.ru
