PT-2025-4606 · Gitoxide · Gitoxide
Eliahkagan
·
Publicado
2025-01-18
·
Atualizado
2025-04-15
·
CVE-2025-22620
CVSS v3.1
5.0
Média
| Vetor | AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do gitoxide anteriores à 0.17.0
Descrição
O problema surge porque o
gix-worktree-state especifica permissões 0777 ao realizar o checkout de arquivos executáveis. A intenção é que isso seja restrito pela umask, mas uma das estratégias usadas para definir permissões não está sujeita à umask, fazendo com que arquivos em um repositório se tornem graváveis por todos em algumas situações. Este problema afeta sistemas semelhantes ao Unix, mas não o Windows, e pode levar a problemas de segurança em sistemas multiusuário ou quando contas são usadas para executar software com privilégios reduzidos.Recomendações
Para versões anteriores à 0.17.0, atualize para a versão 0.17.0 ou posterior para resolver o problema. Como solução temporária, considere definir
destination is initially empty como true ao usar gix::worktree::state::checkout para evitar a estratégia vulnerável. No entanto, a solução mais eficaz é atualizar para uma versão onde esta vulnerabilidade seja corrigida.Exploit
Correção
Improper Preservation of Permissions
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gitoxide