CVE-2024-32465highCWE-22

CVE-2024-32465: fallo de gravedad alta en git

Git's protections for cloning untrusted repositories can be bypassed

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear git+ Monitorear git

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.4epss 1.0%
En resumen

Las funciones de seguridad de Git que protegen contra la clonación de repositorios no confiables pueden ser evitadas, permitiendo que código malicioso se ejecute en tu computadora. Esto es especialmente peligroso al descargar un repositorio Git como archivo ZIP de fuentes no confiables, ya que los hooks ocultos pueden ejecutarse sin tu conocimiento.

Detalle técnico

Las vulnerabilidades de path traversal y ejecución de hooks en Git eludan las protecciones diseñadas para clonar de forma segura repositorios locales no confiables. Un atacante puede crear un archivo de repositorio Git malicioso (por ejemplo, ZIP) con hooks configurados especialmente para ejecutarse durante operaciones de clonación, eludiendo verificaciones de seguridad en versiones anteriores a 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 y 2.39.4. La mitigación requiere actualizar a versiones parcheadas o evitar operaciones de Git en repositorios de fuentes no confiables.

Resumen generado y traducido por IA a partir de la descripción oficial.
Git is a revision control system. The Git project recommends to avoid working in untrusted repositories, and instead to clone it first with `git clone --no-local` to obtain a clean copy. Git has specific protections to make that a safe operation even with an untrusted source repository, but vulnerabilities allow those protections to be bypassed. In the context of cloning local repositories owned by other users, this vulnerability has been covered in CVE-2024-32004. But there are circumstances where the fixes for CVE-2024-32004 are not enough: For example, when obtaining a `.zip` file containing a full copy of a Git repository, it should not be trusted by default to be safe, as e.g. hooks could be configured to run within the context of that repository. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. As a workaround, avoid using Git in repositories that have been obtained via archives from untrusted sources.
CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Productos afectados
git · git
CVEs relacionadas — git

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-48384HIGHGit allows arbitrary code execution through broken config quotingEPSS 4.5%KEVCVE-2021-21300HIGHmalicious repositories can execute remote code while cloningEPSS 88.5%CVE-2022-23521CRITICALgitattributes parsing integer overflow in gitEPSS 56.3%CVE-2023-25652HIGH"git apply --reject" partially-controlled arbitrary file writeEPSS 51.9%CVE-2022-41903CRITICALInteger overflow in `git archive`, `git log --format` leading to RCE in gitEPSS 44.3%CVE-2024-32002CRITICALGit's recursive clones on case-insensitive filesystems that support symlinks are susceptible to Remote Code ExecutionEPSS 29.2%