PT-2022-7372 · Gitpython+5 · Gitpython+5

Sam Wheating · Publicado 2022-12-06 · Atualizado 2025-03-06 · CVE-2022-24439

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do gitpython (versões afetadas não especificadas)

Descrição

O problema está relacionado à validação inadequada de entradas do usuário na biblioteca gitpython, o que permite a execução remota de código (RCE) devido à sanitização insuficiente dos argumentos de entrada ao realizar chamadas externas ao git. Isso permite que um invasor injete uma URL remota criada de forma maliciosa no comando clone. A vulnerabilidade é explorada devido à falha da biblioteca em limpar adequadamente os argumentos de entrada antes de passá-los para o git.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

CWE-20

Identificadores relacionados

ALT-PU-2023-8415

BDU:2024-04480

CVE-2022-24439

DLA-3502-1

DLA-3939-1

GHSA-HCPJ-QP55-GFPH

MGASA-2023-0001

OESA-2023-1529

OPENSUSE-SU-2024:12596-1

OPENSUSE-SU-2024:13510-1

OPENSUSE-SU-2025:14858-1

PYSEC-2022-42992

RHSA-2023:5931

USN-5968-1

Produtos afetados

Alt Linux

Astra Linux

Linuxmint

Red Os

Ubuntu

Gitpython

Referências · 61

• 🔥 https://security.snyk.io/vuln/SNYK-PYTHON-GITPYTHON-3113858 · Exploit
• https://github.com/gitpython-developers/GitPython · Nota
• https://github.com/gitpython-developers/GitPython/blob/bec61576ae75803bc4e60d8de7a629c194313d1c/git/repo/base.py%23L1249 · Nota
• https://github.com/gitpython-developers/GitPython/commit/2625ed9fc074091c531c27ffcba7902771130261 · Nota
• https://github.com/gitpython-developers/GitPython/blob/bec61576ae75803bc4e60d8de7a629c194313d1c/git/repo/base.py#L1249 · Nota
• https://github.com/gitpython-developers/GitPython/releases/tag/3.1.30 · Nota
• https://github.com/gitpython-developers/GitPython/issues/1515 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/gitpython/PYSEC-2022-42992.yaml · Nota
• https://twitter.com/0xdf_/status/1847676961553797148 · Publicação no Twitter
• https://osv.dev/vulnerability/OESA-2023-1529 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-24439 · Nota de Segurança
• https://osv.dev/vulnerability/openSUSE-SU-2025:14858-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24439 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-24439 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3502-1 · Aviso do Fabricante