Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Git opravuje 7 zraniteľností v Git, Git GUI a Gitk
Git verziou 2.50.1 opravuje 7 zraniteľností v nástroji Git aj v jeho grafických rozhraniach Git GUI a Gitk [1]. Najzávažnejšie z nich sú uvedené nižšie.
Autentizovanému vzdialenému útočníkovi je vďaka neošetrenému zaobchádzaniu s koncovými znakmi CR (carriage return) pri zápise konfiguračných hodnôt prostredníctvom hooku post-checkout submodulu umožnené spustiť ľubovoľný kód [1][2].
Zraniteľnosť sa nachádza v produkte:
- Git; <2.50.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-48384 na cve.org, NVD
- CWE-59: Improper Link Resolution Before File Access ('Link Following') na cwe.mitre.org
- CWE-436: Interpretation Conflict na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 7. 2025.
Neautentizovanému vzdialenému útočníkovi je vďaka nedostatočnej validácii balíčkov (bundle) Git klientom umožnené vykonať injekciu do protokolu a prinútiť klienta zapísať balíček na ľubovoľné miesto, čo môže viesť k spusteniu ľubovoľného kódu [1][3].
Zraniteľnosť sa nachádza v produkte:
- Git; <2.50.1
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Viac informácií:
- CVE-2025-48385 na cve.org, NVD
- CWE-73: External Control of File Name or Path na cwe.mitre.org
- CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 7. 2025.
Neautentizovanému lokálnemu útočníkovi je vďaka nedostatočnej validácii názvu súboru pri spustení príkazu gitk umožnené podsunúť používateľovi špeciálne upravený súbor, ktorého otvorenie môže viesť k spusteniu útočníkom dodaného skriptu a následnému spusteniu ľubovoľného kódu [1][4].
Zraniteľnosť sa nachádza v produkte:
- Git; <2.50.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-27614 na cve.org, NVD
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 7. 2025.
Neautentizovanému lokálnemu útočníkovi je umožnené zneužiť chybnú správu cesty v Git GUI pre Windows a podvrhnúť škodlivé binárky, napr. sh.exe alebo astextplain, ktoré sa automaticky spustia pri otvorení Git Bash alebo prezeraní súborov, čo môže viesť k spusteniu ľubovoľného kódu [1][5].
Zraniteľnosť sa nachádza v produkte:
- Git; <2.50.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-46334 na cve.org, NVD
- CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 7. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 22. 7. 2025.