[CVE-2024-32002] Git Code Version Control Software Remote Code Execution Sicherheitslücke mit POC/Exploit

Beschreibung der Schwachstelle:

Git ist ein beliebtes verteiltes Versionskontrollsystem für die gemeinschaftliche Softwareentwicklung. Es kann auf Computern mit Windows, macOS, Linux und verschiedenen *BSD-Distributionen installiert werden.

CVE-2024-32002Die Sicherheitslücke ist eine Schwachstelle in Git, die RCE-Git-Klone während Operationen ermöglicht. Durch die Erstellung von Repositories mit Submodulen auf eine bestimmte Art und Weise kann ein Angreifer bösartige Hooks ausführen, indem er Dateien in das Verzeichnis .git/ schreibt und dabei die Groß-/Kleinschreibung bei der Behandlung symbolischer Links im Dateisystem nicht berücksichtigt.

Die potenziellen Auswirkungen dieser Schwachstelle werden durch die weit verbreitete Nutzung von Git bei der Softwareentwicklung auf den webbasierten Softwareentwicklungsplattformen GitHub und GitLab noch verschärft.

Betroffene Versionen:

Die Sicherheitslücke betrifft nur Git-Versionen vor 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 und 2.39.4, die mit Unterstützung für symbolische Verknüpfungen und einem Betriebssystem konfiguriert sind, das Groß- und Kleinschreibung nicht berücksichtigt.

Überprüfung der Schwachstellen:

https://github.com/amalmurali47/git_rce

Hinweis: Dieser PoC ist nur für Windows- oder Mac-Systeme verfügbar.

Sicherheits-Updates:

Diese Schwachstellen wurden in Git v2.45.1, v2.44.1, v2.43.4, v2.42.2, v2.41.1, v2.40.2 und v2.39.4 behoben.

Referenz:

https://amalmurali.me/posts/git-rce/

https://github.com/amalmurali47/git_rce

https://github.com/git/git/commit/97065761333fd62db1912d81b489db938d8c991d