Foram publicadas as versões corretivas do sistema distribuído de gerenciamento de código-fonte Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 e 2.50.1, nas quais foram corrigidas vulnerabilidades que permitem a execução de código no sistema do usuário durante a operação de clonagem de um repositório sob controle do atacante.
- CVE-2025-48384 — a vulnerabilidade é causada pelo fato de que, ao ler os valores dos parâmetros de configuração, o Git remove os caracteres de nova linha (LF) e retorno de carro (CR) especificados no final, mas ao gravar valores no arquivo de configuração, não realiza a devida escapada do caractere de retorno de carro. O atacante pode especificar, ao inicializar um submódulo, um caminho cujo nome termina com o caractere de retorno de carro (sistemas de arquivos em sistemas UNIX-like permitem a inclusão de caracteres especiais nos nomes de arquivos e diretórios).
A limpeza do caractere de retorno de carro ao ler a configuração resultará na extração do submódulo em um caminho incorreto. O atacante pode posicionar nesse caminho incorreto um link simbólico que aponta para um diretório com git hooks e colocar nele um manipulador que será chamado após a conclusão da operação de checkout. A execução do comando "git clone —recursive" em um repositório com tal submódulo resultará na execução do código indicado pelo invasor.
- CVE-2025-48385 — verificação insuficiente do lado do cliente dos arquivos bundle enviados servidor durante a clonagem do repositório e utilizados para transmitir parte dos dados via sistemas de entrega de conteúdo (CDN). Um atacante que controla o servidor Git pode organizar o download, pelo cliente, de um arquivo bundle especialmente formatado que, após a extração, será salvo em qualquer lugar do sistema de arquivos.
- CVE-2025-48386 — vulnerabilidade específica da plataforma Windows, causada pelo estouro de buffer no manipulador Wincred, usado para salvar credenciais no Windows Credential Manager.
Além disso, foram corrigidas quatro vulnerabilidades nas interfaces gráficas Gitk e Git GUI, escritas em Tcl/Tk:
- CVE-2025-27613 — a abertura de um repositório especialmente formatado no Gitk pode resultar na sobregravação de arquivos arbitrários no sistema de arquivos.
- CVE-2025-27614 — ao executar "gitk filename" em um repositório especialmente formatado, pode ocorrer a execução de um script preparado pelo atacante.
- CVE-2025-46334 — é possível organizar a execução de código malicioso no Git GUI no Windows quando o usuário realiza ações de "Git Bash" ou "Browse Files" com um repositório que contém arquivos executáveis como sh.exe, astextplain.exe, exif.exe e ps2ascii.exe, que são invocados durante o uso do Git GUI.
- CVE-2025-46335 — existe a possibilidade de criar ou sobrescrever um arquivo arbitrário no sistema de arquivos ao editar um arquivo no Git GUI a partir de um diretório com um nome especialmente formatado, extraído de um repositório preparado pelo invasor.
Fonte: opennet.ru
