CVE-2024-32002 Ejecución remota de código en Git al clonar repositorios con submódulos en sistemas de archivos insensibles…
Repositorios con submódulos pueden manipularse para que Git escriba archivos en el directorio .git/ en lugar del árbol de trabajo del submódulo, lo que permite colocar un hook que se ejecuta durante la clonación sin que el usuario pueda inspeccionar el código. Afecta a versiones anteriores a 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 y 2.39.4, que corrigen el problema. El ataque no funciona si el soporte de enlaces simbólicos está deshabilitado.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/1129,2 % · percentil 98
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
git
= 2.45.0= 2.44.0>= 2.43.0, < 2.43.4>= 2.42.0, < 2.42.2= 2.41.0>= 2.40.0, < 2.40.2< 2.39.4
Qué hacer
- Verificá si usás git y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Git is a revision control system. Prior to versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4, repositories with submodules can be crafted in a way that exploits a bug in Git whereby it can be fooled into writing files not into the submodule's worktree but into a `.git/` directory. This allows writing a hook that will be executed while the clone operation is still running, giving the user no opportunity to inspect the code that is being executed. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. If symbolic link support is disabled in Git (e.g. via `git config --global core.symlinks false`), the described attack won't work. As always, it is best to avoid cloning repositories from untrusted sources.
Referencias (8)
- github.com/git/git/security/advisories/GHSA-8h77-4q3w-gfgv
- github.com/git/git/commit/97065761333fd62db1912d81b489db938d8c991d
- git-scm.com/docs/git-clone#Documentation/git-clone.txt---recurse-submodulesltpathspecgt
- git-scm.com/docs/git-config#Documentation/git-config.txt-coresymlinks
- lists.fedoraproject.org/archives/list/[email protected]/message/S4…
- www.openwall.com/lists/oss-security/2024/05/14/2
- lists.debian.org/debian-lts-announce/2024/06/msg00018.html
- lists.debian.org/debian-lts-announce/2024/09/msg00009.html
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.