CVE-2025-48384: fallo de gravedad alta en git
Git allows arbitrary code execution through broken config quoting
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Git no cita correctamente valores de configuración con retorno de carro al final, haciendo que submódulos se clonem en ubicaciones incorrectas. Si un enlace simbólico apunta al directorio de hooks de Git, un atacante puede engañar a Git para ejecutar scripts maliciosos durante la configuración del submódulo.
Al leer valores de configuración, Git elimina caracteres CRLF pero no cita valores con CR final al escribir, causando interpretación incorrecta de la ruta durante inicialización de submódulo. Un atacante puede preparar un repositorio con ruta de submódulo que contenga CR que, combinado con enlace simbólico apuntando al directorio hooks, dispara ejecución no intencional de scripts post-checkout. Requiere que el usuario clone repositorio malicioso o actualice submódulos (CWE-436: Conflicto de Interpretación, CWE-59: Resolución Inadecuada de Enlace).
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.