Au fost publicate versiunile corective ale sistemului distribuit de control al versiunilor Git 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 și 2.50.1, care rezolvă vulnerabilitățile ce permit executarea codului pe sistemul utilizatorului în timpul operației de clonare a unui depozit controlat de atacator.
- CVE-2025-48384 — vulnerabilitatea este cauzată de faptul că, atunci când citește valorile parametrilor de configurare, Git elimină caracterele de sfârșit de linie (LF) și întoarcere la început (CR) specificate la final, dar nu efectuează escape pentru caracterul de întoarcere la început la scrierea valorilor în fișierul de configurare. Atacatorul poate specifica, la inițializarea submodulului, un drum care se termină cu caracterul de întoarcere la început (FS în sistemele de operare de tip Unix permit specificarea caracterelor speciale în numele fișierelor și directoarelor).
Curățarea caracterului de întoarcere la început la citirea configurației va duce la extragerea submodulului pe un drum incorect. Atacatorul poate plasa pe acest drum incorect un link simbolic care indică un director cu git hook-uri și poate plasa în el un handler care este apelat după finalizarea operației de checkout. Executarea comenzii „git clone —recursive” pe un depozit cu un astfel de submodul va duce la executarea codului specificat de atacator.
- CVE-2025-48385 — verificare insuficientă pe partea clientului a fișierelor bundle, transmise serverul în timpul clonării depozitului și utilizate pentru a transfera o parte din datele livrate prin sistemele de livrare a conținutului (CDN). Atacatorul, care controlează serverul Git, poate organiza descărcarea de către client a unui fișier bundle special conceput, care, după extragere, va fi salvat într-o locație arbitrară a sistemului de fișiere.
- CVE-2025-48386 — vulnerabilitate specifică platformei Windows, cauzată de un buffer overflow în handler-ul Wincred, utilizat pentru salvarea acreditivelor în Windows Credential Manager.
De asemenea, au fost remediate patru vulnerabilități în interfețele grafice Gitk și Git GUI, scrise în Tcl/Tk:
- CVE-2025-27613 — deschiderea într-un Gitk a unui depozit special conceput poate duce la suprascrierea unor fișiere arbitrare în sistemul de fișiere.
- CVE-2025-27614 — executarea comenzii „gitk filename” pe un repository special pregătit poate duce la rularea unui script creat de atacator.
- CVE-2025-46334 — în Git GUI pe Windows poate fi organizată executarea codului atacatorului atunci când utilizatorul efectuează acțiuni „Git Bash” sau „Browse Files” într-un repository care conține în directorul de lucru fișiere executabile standard pregătite de atacator, cum ar fi sh.exe, astextplain.exe, exif.exe și ps2ascii.exe, apelate în timpul utilizării Git GUI.
- CVE-2025-46335 — posibilitatea de a crea sau suprascrie un fișier arbitrar în sistemul de fișiere atunci când utilizatorul editează în Git GUI un fișier dintr-un director cu un nume special pregătit, extras dintr-un repository pregătit de atacator.
Sursa: opennet.ro
