"git apply --reject" partially-controlled arbitrary file write

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• fedoraproject fedora37
• fedoraproject fedora38
• git-scm git2.32.0 и новее · до 2.32.7
• git-scm git2.33.0 и новее · до 2.33.8
• git-scm git2.34.0 и новее · до 2.34.8
• git-scm git2.35.0 и новее · до 2.35.8
• git-scm gitдо 2.30.9
• git-scm git2.37.0 и новее · до 2.37.7
• git-scm git2.38.0 и новее · до 2.38.5
• git-scm git2.39.0 и новее · до 2.39.3
• git-scm git2.36.0 и новее · до 2.36.6
• git-scm git2.31.0 и новее · до 2.31.8
• git-scm git2.40.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• git git

  • < 2.30.9, >= 2.31.0, < 2.31.8, >= 2.32.0, < 2.32.7, >= 2.33.0, < 2.33.8, >= 2.34.0, < 2.34.8, >= 2.35.0, < 2.35.8, >= 2.36.0, < 2.36.6, >= 2.37.0, < 2.37.7, >= 2.38.0, < 2.38.5, >= 2.39.0, < 2.39.3, >= 2.40.0, < 2.40.1затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-17456Git before 2.14.5, 2.15.x before 2.15.3, 2.16.x before 2.16.5, 2.17.x before 2.17.2, 2.18.x before 2.18.1, and 2.19.x before 2.19.1 allows r
  68На этой неделе
• CVE-2025-48384Git allows arbitrary code execution through broken config quotingKEV
  63На этой неделе
• CVE-2017-1000117A malicious third-party can give a crafted "ssh://..." URL to an unsuspecting victim, and an attempt to visit the URL can result in any prog
  58В плане
• CVE-2021-21300malicious repositories can execute remote code while cloning
  57В плане
• CVE-2022-23521gitattributes parsing integer overflow in git
  56В плане
• CVE-2022-41903Integer overflow in `git archive`, `git log --format` leading to RCE in git
  52В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Имя файла, переданное пользователем, объединяется с разрешённым каталогом, но не проверяется, остаётся ли результат внутри этого каталога.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const file = path.join(ROOT, req.query.name);2res.sendFile(file);

1const file = path.resolve(ROOT, req.query.name);2if (!file.startsWith(ROOT + path.sep)) {3  return res.sendStatus(400);4}5res.sendFile(file);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.