CVE-2022-41903· NVD / CVE Program· CNA GitHub_M

Integer overflow in `git archive`, `git log --format` leading to RCE in git

Оценка Noroxi

Приоритет: В плане (оценка срочности 52/100)

Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 44,2% (FIRST EPSS); выше, чем у 98,7% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
Исправленная версия: git (AlmaLinux:8) 2.31.1-3.el8_7; git-all (AlmaLinux:8) 2.31.1-3.el8_7; git-core (AlmaLinux:8) 2.31.1-3.el8_7.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Включите в обычный цикл установки исправлений. Обновитесь до git (AlmaLinux:8) 2.31.1-3.el8_7; git-all (AlmaLinux:8) 2.31.1-3.el8_7; git-core (AlmaLinux:8) 2.31.1-3.el8_7 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Git is distributed revision control system. `git log` can display commits in an arbitrary format using its `--format` specifiers. This functionality is also exposed to `git archive` via the `export-subst` gitattribute. When processing the padding operators, there is a integer overflow in `pretty.c::format_and_pad_commit()` where a `size_t` is stored improperly as an `int`, and then added as an offset to a `memcpy()`. This overflow can be triggered directly by a user running a command which invokes the commit formatting machinery (e.g., `git log --format=...`). It may also be triggered indirectly through git archive via the export-subst mechanism, which expands format specifiers inside of files within the repository during a git archive. This integer overflow can result in arbitrary heap writes, which may result in arbitrary code execution. The problem has been patched in the versions published on 2023-01-17, going back to v2.30.7. Users are advised to upgrade. Users who are unable to upgrade should disable `git archive` in untrusted repositories. If you expose git archive via `git daemon`, disable it by running `git config --global daemon.uploadArch false`.

КритическаяCVSS 9.8 · v3.1—Proof of concept Есть исправление

Опубликовано: 17 янв. 2023 г.
Обновлено: 17 июн. 2026 г.
EPSS: 44,2 % · 98-й процентиль
CWE: CWE-190

Инструменты для отчёта

JSON

Оценка срочности

В плане

Включите в обычный цикл установки исправлений.

CVSS: 39 / 40 · 9.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 13 / 30 · 44,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: да
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: 9,8
CNA · GitHub_M: 9,8; совпадают

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
git-scm	git	cpe:2.3:a:git-scm:git

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

git-scm gitдо 2.30.6 включительно
git-scm git2.31.0 и новее · до 2.31.5 включительно
git-scm git2.32.0 и новее · до 2.32.4 включительно
git-scm git2.33.0 и новее · до 2.33.5 включительно
git-scm git2.34.0 и новее · до 2.34.5 включительно
git-scm git2.35.0 и новее · до 2.35.5 включительно
git-scm git2.36.0 и новее · до 2.36.3 включительно
git-scm git2.37.0 и новее · до 2.37.4 включительно
git-scm git2.38.0 и новее · до 2.38.2 включительно
git-scm git2.39.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

git git
- < 2.30.7, >= 2.31.0, < 2.31.6, >= 2.32.0, < 2.32.5, >= 2.33.0, < 2.33.6, >= 2.34.0, < 2.34.6, >= 2.35.0, < 2.35.6, >= 2.36.0, < 2.36.4, >= 2.37.0, < 2.37.5, >= 2.38.0, < 2.38.3, = 2.39.0затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
AlmaLinux:8	git	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-all	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-core	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-core-doc	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-credential-libsecret	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-daemon	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-email	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-gui	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-instaweb	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-subtree	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	git-svn	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	gitk	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	gitweb	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	perl-Git	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:8	perl-Git-SVN	до 2.31.1-3.el8_7	2.31.1-3.el8_7
AlmaLinux:9	git	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-all	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-core	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-core-doc	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-credential-libsecret	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-daemon	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-email	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-gui	до 2.31.1-3.el9_1	2.31.1-3.el9_1
AlmaLinux:9	git-instaweb	до 2.31.1-3.el9_1	2.31.1-3.el9_1

+96

Тот же продукт

git-scm: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2018-17456Git before 2.14.5, 2.15.x before 2.15.3, 2.16.x before 2.16.5, 2.17.x before 2.17.2, 2.18.x before 2.18.1, and 2.19.x before 2.19.1 allows r
68На этой неделе
CVE-2025-48384Git allows arbitrary code execution through broken config quotingKEV
63На этой неделе
CVE-2017-1000117A malicious third-party can give a crafted "ssh://..." URL to an unsuspecting victim, and an attempt to visit the URL can result in any prog
58В плане
CVE-2021-21300malicious repositories can execute remote code while cloning
57В плане
CVE-2022-23521gitattributes parsing integer overflow in git
56В плане
CVE-2023-25652"git apply --reject" partially-controlled arbitrary file write
46В плане

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
almalinux:git	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-all	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-core	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-core-doc	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-credential-libsecret	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-daemon	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-email	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-gui	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-instaweb	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-subtree	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:git-svn	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
almalinux:gitk	2.31.1-3.el8_7 · AlmaLinux:8	Реестр пакетов (OSV)
alpine:git	2.32.5-r0 · Alpine:v3.14	Реестр пакетов (OSV)
debian:git	1:2.39.1-0.1 · Debian:12	Реестр пакетов (OSV)
opensuse:git	2.26.2-150000.44.1 · openSUSE:Leap 15.4	Реестр пакетов (OSV)
red hat:git	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-all	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-core	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-core-debuginfo	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-core-doc	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-credential-libsecret	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-credential-libsecret-debuginfo	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-daemon	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-daemon-debuginfo	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-debuginfo	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-debugsource	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
red hat:git-email	0:2.27.0-3.el8_4 · Red Hat:rhel_eus:8.4::appstream	Реестр пакетов (OSV)
rocky linux:git	0:2.31.1-3.el8_7 · Rocky Linux:8	Реестр пакетов (OSV)
suse:git	2.26.2-150000.44.1 · SUSE:Linux Enterprise High Performance Computing 15 SP1-LTSS	Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	stars:0	2023-01-26

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация17 янв. 2023 г.
Первый PoC26 янв. 2023 г.+8 дн.
Сегодня16 окт. 2026 г.+1368 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

git/gitкоммит 508386c

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-23-0100 · 21 февр. 2023 г.(OpenShift Güvenlik Güncellemesi)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-190 · Integer Overflow or Wraparound

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Forced Integer OverflowCAPEC-92вероятность: High · High

Техники ATT&CK

—

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:47 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

git-scm.com/book/en/v2/Customizing-Git-Git-Attributes#_export_subst

Показать все источники (ещё 4)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: GitHub_M

CVE.org (CNA)10 мар. 2025 г., 21:21 UTC
CISA ADP10 мар. 2025 г., 21:21 UTC
NVD17 июн. 2026 г., 01:04 UTC
FIRST EPSS15 окт. 2026 г., 00:00 UTC
OSV / GHSA16 окт. 2026 г., 03:22 UTC
PoC-in-GitHub16 окт. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.