PT-2024-5164 · Gitoxide · Gitoxide
Eliahkagan
·
Publicado
2024-04-13
·
Atualizado
2025-07-29
·
CVE-2024-32884
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:L |
Nome do software vulnerável e versões afetadas:
versões do gitoxide anteriores à 0.35.0
versões do gitoxide anteriores à 0.42.0
versões do gitoxide anteriores à 0.62.0
Descrição:
O problema está relacionado ao componente
gix-transport do gitoxide, que não verifica adequadamente a parte do nome de usuário de uma URL em busca de texto que o programa externo ssh interpretaria como uma opção. Isso permite que uma URL de clonagem especialmente criada introduza opções no SSH, podendo levar à execução de código arbitrário se uma URL de clonagem maliciosa for usada por um aplicativo cujo diretório de trabalho atual contenha um arquivo malicioso. As possibilidades de exploração são sintaticamente limitadas, mas um invasor capaz de fazer com que um arquivo de configuração ssh com nome específico seja colocado no diretório de trabalho atual pode introduzir uma opção -F referenciando o arquivo, permitindo a execução de comandos arbitrários. Esse cenário é especialmente plausível porque programas que operam em repositórios git são frequentemente executados em repositórios git não confiáveis.Recomendações:
Para resolver o problema em versões anteriores à 0.35.0, atualize para a versão 0.35.0 ou posterior.
Para resolver o problema em versões anteriores à 0.42.0, atualize para a versão 0.42.0 ou posterior.
Para resolver o problema em versões anteriores à 0.62.0, atualize para a versão 0.62.0 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao componente
gix-transport até que um patch esteja disponível.Evite usar o comando
gix clone com URLs não confiáveis, especialmente em cenários em que o diretório de trabalho atualExploit
Correção
Improper Neutralization
Special Elements Injection
Argument Injection
Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gitoxide