[TLP:CLEAR] Git opravuje 7 zranitelností v Git, Git GUI a Gitk

Git verzí 2.50.1 opravuje 7 zranitelností v nástroji Git i jeho grafických rozhraních Git GUI a Gitk [1]. Nejzávažnější z nich jsou uvedeny níže.

Git - arbitrary code execution (CVE-2025-48384)
CVSS 8.0 (High)

Autentizovanému vzdálenému útočníkovi je kvůli neošetřenému zacházení s koncovými znaky CR (carriage return) při zápisu konfiguračních hodnot prostřednictvím hooku post-checkout submodulu umožněno spustit libovolný kód [1][2].

Zranitelnost se nachází v produktu:

  • Git; <2.50.1

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Git - arbitrary code execution (CVE-2025-48385)
CVSS 8.6 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci balíčků (bundle) Git klientem umožněno provést injekci do protokolu a přimět klienta k zápisu balíčku na libovolné místo, což může vést ke spuštění libovolného kódu [1][3].

Zranitelnost se nachází v produktu:

  • Git; <2.50.1

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

  • CVE-2025-48385 na cve.org, NVD
  • CWE-73: External Control of File Name or Path na cwe.mitre.org
  • CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Gitk - arbitrary code execution (CVE-2025-27614)
CVSS 8.6 (High)

Neautentizovanému lokálnímu útočníkovi je kvůli nedostatečné validaci názvu souboru při spuštění příkazu gitk umožněno podstrčit uživateli speciálně upravený soubor, jehož otevření může vést ke spuštění útočníkem dodaného skriptu a následnému spuštění libovolného kódu [1][4].

Zranitelnost se nachází v produktu:

  • Git; <2.50.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2025-27614 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Git GUI - arbitrary code execution (CVE-2025-46334)
CVSS 8.6 (High)

Neautentizovanému lokálnímu útočníkovi je umožněno zneužít chybnou správu cesty v Git GUI pro Windows a podvrhnout škodlivé binárky jako např. sh.exe nebo astextplain, které se automaticky spustí při otevření Git Bash nebo prohlížení souborů, což může vést ke spuštění libovolného kódu [1][5].

Zranitelnost se nachází v produktu:

  • Git; <2.50.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2025-46334 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dne 22. 7. 2025.

CESNET, z.s.p.o. Logo