Перейти к содержимому
Noroxi
NVD / CVE Program· CNA GitHub_M

CVE-2025-48384: Git allows arbitrary code execution through broken config quoting

ВысокаяCVSS 8.0 · v3.1KEVГотовый эксплойт Есть исправление

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 63/100)

  • CISA подтвердило эксплуатацию в реальных атаках (25 авг. 2025 г.). Срок устранения для федеральных ведомств США: 15 сент. 2025 г.
  • Вероятность эксплуатации в ближайшие 30 дней: 4,4% (FIRST EPSS); выше, чем у 91,6% записей.
  • Может быть вызвана любым, у кого есть доступ через интернет. Достаточно учётной записи с низкими привилегиями. Пользователь должен открыть ссылку или посетить страницу. Требуются особые условия, например определённое время или конфигурация.
  • Исправленная версия: Microsoft Visual Studio 2017 version 15.9 (includes 15.0 - 15.8) 15.9.75; Microsoft Visual Studio 2019 version 16.11 (includes 16.0 - 16.10) 16.11.49; Microsoft Visual Studio 2022 version 17.10 17.10.17.

Не ждите следующего окна обслуживания. Обновитесь до Microsoft Visual Studio 2017 version 15.9 (includes 15.0 - 15.8) 15.9.75; Microsoft Visual Studio 2019 version 16.11 (includes 16.0 - 16.10) 16.11.49; Microsoft Visual Studio 2022 version 17.10 17.10.17 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS

Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When reading a config value, Git strips any trailing carriage return and line feed (CRLF). When writing a config entry, values with a trailing CR are not quoted, causing the CR to be lost when the config is later read. When initializing a submodule, if the submodule path contains a trailing CR, the altered path is read resulting in the submodule being checked out to an incorrect location. If a symlink exists that points the altered path to the submodule hooks directory, and the submodule contains an executable post-checkout hook, the script may be unintentionally executed after checkout. This vulnerability is fixed in v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, and v2.50.1.

Опубликовано
8 июл. 2025 г.
Обновлено
24 сент. 2026 г.
EPSS
4,4 % · 91-й процентиль

Инструменты для отчёта

JSON

Оценка срочности

63

На этой неделе

Не ждите следующего окна обслуживания.

CVSS
32 / 40 · 8.0 / 10
CISA KEV
30 / 30 · В списке
EPSS
1 / 30 · 4,4 %

Решение CISA SSVC

Эксплуатация
активная
Автоматизируемо
нет
Техническое влияние
полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD
—
CNA · GitHub_M
8,1
NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 25 авг. 2025 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для федеральных ведомств США: 15 сент. 2025 г..

Узнайте, когда запись изменится

  • В CISA KEV: эксплуатация в реальных атаках подтверждена
  • Есть боевой эксплойт
  • Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Следить за CVE-2025-48384

Когда мы напишем

  • когда запись попадёт в CISA KEV
  • когда появится или станет боевым эксплойт
  • когда запись обновится (в том числе исправленная версия)
  • когда EPSS вырастет на 20 пунктов за неделю

Одна сводка в день по почте (06:00 UTC); с вебхуком попадание в KEV и боевые эксплойты — на платных планах раз в 10 минут, на бесплатном раз в час.

С бесплатным аккаунтом также

  • Оповещения о CVE: добавьте свои продукты и версии — новые CVE для них придут вам
  • Мониторинг сайта: 1 сайт, письмо сразу при недоступности
  • Добавьте домен: поддомены и риск захвата проверяются каждую неделю (1 домен)
  • 10 проверок в час в инструментах безопасности, не больше 30 в день (без аккаунта — 3 в день), API-ключ и MCP
  • Все сканирования в одной панели: находки, изменения с прошлого сканирования, отчёт по домену или клиенту (PDF, ссылка для просмотра)
Все бесплатные инструменты

Регистрация по почте · Уже есть аккаунт? Войти

Бесплатный аккаунт, без карты. Отписаться можно в любой момент.

Не хотите аккаунт? Сводка «Эксплуатируется на этой неделе» по понедельникамНе хотите аккаунт? RSS-лента записей git-scm
Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

ВендорПродукт
git-scmgit
debiandebian linux
applexcode

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

  • git git

    • < 2.43.7, >= 2.44.0-rc0, < 2.44.4, >= 2.45.0-rc0, < 2.45.4, >= 2.46.0-rc0, < 2.46.4, >= 2.47.0-rc0, < 2.47.3, >= 2.48.0-rc0, < 2.48.2, >= 2.49.0-rc0, < 2.49.1, >= 2.50.0-rc0, < 2.50.1затронута
Затронутые версии · NVD (10)

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

  • apple xcodeдо 26.0
  • debian debian linux11.0
  • git-scm git2.45.0 и новее · до 2.45.4
  • git-scm git2.46.0 и новее · до 2.46.4
  • git-scm git2.47.0 и новее · до 2.47.3
  • git-scm gitдо 2.43.7
  • git-scm git2.49.0 и новее · до 2.49.1
  • git-scm git2.50.0 и новее · до 2.50.1
  • git-scm git2.48.0 и новее · до 2.48.2
  • git-scm git2.44.0 и новее · до 2.44.4

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

ЭкосистемаПакетЗатронутый диапазонИсправление
AlmaLinux:10git-allдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-core-docдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-emailдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-guiдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-instawebдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-subtreeдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10git-svnдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10gitkдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10gitwebдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10perl-Gitдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:10perl-Git-SVNдо 2.47.3-1.el10_02.47.3-1.el10_0
AlmaLinux:8gitдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-allдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-coreдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-core-docдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-credential-libsecretдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-daemonдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-emailдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-guiдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-instawebдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-subtreeдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8git-svnдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8gitkдо 2.43.7-1.el8_102.43.7-1.el8_10
AlmaLinux:8gitwebдо 2.43.7-1.el8_102.43.7-1.el8_10

+96

Тот же продукт

git-scm: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

  • CVE-2018-17456Git before 2.14.5, 2.15.x before 2.15.3, 2.16.x before 2.16.5, 2.17.x before 2.17.2, 2.18.x before 2.18.1, and 2.19.x before 2.19.1 allows…
    68На этой неделе
  • CVE-2021-21300malicious repositories can execute remote code while cloning
    60На этой неделе
  • CVE-2017-1000117A malicious third-party can give a crafted "ssh://..." URL to an unsuspecting victim, and an attempt to visit the URL can result in any…
    60На этой неделе

Опубликованы до и после этой записи в том же продукте

  • ← РаньшеCVE-2024-3202014 мая 2024 г. · Cloning local Git repository by untrusted user allows the untrusted user to modify objects in the cloned repository at will
    13Наблюдать
  • ← РаньшеCVE-2024-3202114 мая 2024 г. · Local Git clone may hardlink arbitrary user-readable files into the new repository's "objects/" directory
    28Наблюдать
  • ← РаньшеCVE-2024-3246514 мая 2024 г. · Git's protections for cloning untrusted repositories can be bypassed
    31Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакетИсправленная версияИсточник
Microsoft Visual Studio 2017 version 15.9 (includes 15.0 - 15.8)15.9.75 · Release NotesMicrosoft (MSRC)
Microsoft Visual Studio 2019 version 16.11 (includes 16.0 - 16.10)16.11.49 · Release NotesMicrosoft (MSRC)
Microsoft Visual Studio 2022 version 17.1017.10.17 · Release NotesMicrosoft (MSRC)
Microsoft Visual Studio 2022 version 17.1217.12.10 · Release NotesMicrosoft (MSRC)
Microsoft Visual Studio 2022 version 17.1417.14.8 · Release NotesMicrosoft (MSRC)
Microsoft Visual Studio 2022 version 17.817.8.23 · Release NotesMicrosoft (MSRC)
almalinux:git2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-all2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-core2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-core-doc2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-credential-libsecret2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-daemon2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-email2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-gui2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-instaweb2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-subtree2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:git-svn2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
almalinux:gitk2.47.3-1.el9_6 · AlmaLinux:9Реестр пакетов (OSV)
alpine:git2.43.7-r0 · Alpine:v3.19Реестр пакетов (OSV)
debian:git1:2.39.5-0+deb12u3 · Debian:12Реестр пакетов (OSV)
opensuse:git2.51.0-150600.3.12.1 · openSUSE:Leap 15.6Реестр пакетов (OSV)
opensuse:git-lfs3.7.0-150600.13.3.1 · openSUSE:Leap 15.6Реестр пакетов (OSV)
opensuse:obs-scm-bridge0.7.4-150600.14.4.1 · openSUSE:Leap 15.6Реестр пакетов (OSV)
opensuse:python-PyYAML6.0.2-150600.10.3.1 · openSUSE:Leap 15.6Реестр пакетов (OSV)
red hat:git0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:git-all0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:git-core0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:git-core-debuginfo0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:git-core-doc0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)
red hat:git-credential-libsecret0:2.47.3-1.el9_6 · Red Hat:enterprise_linux:9::appstreamРеестр пакетов (OSV)

+11

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

  • Репозиторий PoC на GitHub ×43

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
ИсточникТипДата
Репозиторий PoC на GitHubрепозиториев: 432025-07-08 → 2026-11-03

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

  1. Первый PoC-1 дн.
  2. Публикация
  3. CISA KEV+47 дн.
  4. Сегодня13 нояб. 2026 г.+493 дн.
EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.

Технические детали

Условия атаки

  • Может быть вызвана любым, у кого есть доступ через интернет.
  • Достаточно учётной записи с низкими привилегиями.
  • Пользователь должен открыть ссылку или посетить страницу.
  • Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность
высокое · данные могут быть прочитаны
Целостность
высокое · данные или конфигурация могут быть изменены
Доступность
высокое · работа сервиса может быть нарушена

Влияние может выйти за пределы уязвимого компонента (область действия меняется).

Вектор атаки
Сеть
Сложность атаки
Высокая
Требуемые привилегии
Низкие
Взаимодействие с пользователем
Требуется
Область действия
Изменяется
Влияние на конфиденциальность
Высокое
Влияние на целостность
Высокое
Влияние на доступность
Высокое

Класс уязвимости (CWE)

CWE-59 · Improper Link Resolution Before File Access ('Link Following')

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H

nvd-secondary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Источники

Показать все источники (ещё 4)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи