PT-2022-13891 · Git+1 · Git+1

Publicado 2022-04-22 · Atualizado 2022-05-04 · CVE-2022-1440

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

git-interface, versões 2.1.1 a 2.1.1

Descrição

Existe uma vulnerabilidade de injeção de comando no git-interface. Se tanto o git remote quanto o diretório de destino forem fornecidos por entrada do usuário, o uso do recurso de argumento de linha de comando --upload-pack do git também é suportado para git clone, permitindo que qualquer comando do sistema operacional seja executado pelo invasor.

Recomendações

Para a versão 2.1.1 do git-interface, atualize para a versão 2.1.2 para resolver o problema.

Como solução alternativa temporária, considere restringir o uso do recurso de argumento de linha de comando --upload-pack do git para git clone até que um patch esteja disponível.

Exploit

Correção

Argument Injection

OS Command Injection

Enumeração de Fraquezas

CWE-88

CWE-78

Identificadores relacionados

CVE-2022-1440

GHSA-QFFW-8WG7-H665

Produtos afetados

Git

Git-Interface

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/1xxx/CVE-2022-1440.json · Exploit
• 🔥 https://huntr.dev/bounties/cdc25408-d3c1-4a9d-bb45-33b12a715ca1 · Exploit
• https://github.com/yarkeev/git-interface/commit/f828aa790016fee3aa667f7b44cf94bf0aa8c60d · Correção
• https://github.com/yarkeev/git-interface · Nota
• https://osv.dev/vulnerability/CVE-2022-1440 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-1440 · Nota de Segurança
• https://t.me/cibsecurity/41342 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-qffw-8wg7-h665 · Aviso do Fabricante