CVE-2025-48384highbajo ataqueCWE-436CWE-59

CVE-2025-48384: fallo de gravedad alta en git

Git allows arbitrary code execution through broken config quoting

Publicada el · Actualizada el

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

73Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 8.1epss 4.4%
de la publicación al armael mismo día
Publicada en NVD8 jul
1ª PoC8 jul
CISA KEV+48d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Afectado
2 productos (14 componentes)
Red Hat Enterprise Linux 6 · Red Hat OpenShift Container Platform 4
workaround: To mitigate this issue, avoid using --recurse-submodules when cloning repositories from untrusted sources; instead, clone normally and only initialize or update submodules manually after reviewing them.
Corregido
27 productos (587 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream E4S (v.8.6) · Red Hat Enterprise Linux AppStream E4S (v.9.0) · Red Hat Enterprise Linux AppStream E4S (v.9.2) · y otros 22
No afectado
2 productos (655 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Container Platform 4.18 · Red Hat OpenShift Dev Spaces
Acción exigida por CISAplazo federal: 2025-09-15

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Git no cita correctamente valores de configuración con retorno de carro al final, haciendo que submódulos se clonem en ubicaciones incorrectas. Si un enlace simbólico apunta al directorio de hooks de Git, un atacante puede engañar a Git para ejecutar scripts maliciosos durante la configuración del submódulo.

Detalle técnico

Al leer valores de configuración, Git elimina caracteres CRLF pero no cita valores con CR final al escribir, causando interpretación incorrecta de la ruta durante inicialización de submódulo. Un atacante puede preparar un repositorio con ruta de submódulo que contenga CR que, combinado con enlace simbólico apuntando al directorio hooks, dispara ejecución no intencional de scripts post-checkout. Requiere que el usuario clone repositorio malicioso o actualice submódulos (CWE-436: Conflicto de Interpretación, CWE-59: Resolución Inadecuada de Enlace).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When reading a config value, Git strips any trailing carriage return and line feed (CRLF). When writing a config entry, values with a trailing CR are not quoted, causing the CR to be lost when the config is later read. When initializing a submodule, if the submodule path contains a trailing CR, the altered path is read resulting in the submodule being checked out to an incorrect location. If a symlink exists that points the altered path to the submodule hooks directory, and the submodule contains an executable post-checkout hook, the script may be unintentionally executed after checkout. This vulnerability is fixed in v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, and v2.50.1.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
Productos afectados
git · git
PoCs públicas encontradas — 69
githubgithub.com/acheong08/CVE-2025-48384★ 52githubgithub.com/liamg/CVE-2025-48384★ 21githubgithub.com/zr0n/CVE-2025-48384-main★ 1githubgithub.com/IK-20211125/CVE-2025-48384★ 1githubgithub.com/zr0n/CVE-2025-48384-sub★ 1githubgithub.com/vinieger/vinieger-CVE-2025-48384-Dockerfile★ 1githubgithub.com/beishanxueyuan/CVE-2025-48384-test★ 1githubgithub.com/ppd520/CVE-2025-48384★ 0githubgithub.com/NigelX/CVE-2025-48384★ 0githubgithub.com/greatyy/CVE-2025-48384-p★ 0githubgithub.com/testdjshan/CVE-2025-48384★ 0githubgithub.com/altm4n/cve-2025-48384★ 0githubgithub.com/altm4n/cve-2025-48384-hub★ 0githubgithub.com/ECHO6789/CVE-2025-48384-submodule★ 0githubgithub.com/simplyfurious/CVE-2025-48384-submodule_test★ 0githubgithub.com/Anezatraa/CVE-2025-48384-submodule★ 0githubgithub.com/elprogramadorgt/CVE-2025-48384★ 0githubgithub.com/f1shh/CVE-2025-48384★ 0githubgithub.com/fluoworite/CVE-2025-48384★ 0githubgithub.com/fluoworite/CVE-2025-48384-sub★ 0githubgithub.com/beishanxueyuan/CVE-2025-48384★ 0githubgithub.com/replicatorbot/CVE-2025-48384★ 0githubgithub.com/replicatorbot/CVE-2025-48384-POC★ 0githubgithub.com/eliox01/CVE-2025-48384★ 0githubgithub.com/jacobholtz/CVE-2025-48384-poc★ 0githubgithub.com/jacobholtz/CVE-2025-48384-submodule★ 0githubgithub.com/butyraldehyde/CVE-2025-48384-PoC-Part2★ 0githubgithub.com/butyraldehyde/CVE-2025-48384-PoC★ 0githubgithub.com/arun1033/CVE-2025-48384★ 0githubgithub.com/s41r4j/CVE-2025-48384★ 0githubgithub.com/s41r4j/CVE-2025-48384-submodule★ 0githubgithub.com/p1026/CVE-2025-48384★ 0githubgithub.com/nguyentranbaotran/cve-2025-48384-poc★ 0githubgithub.com/admin-ping/CVE-2025-48384-RCE★ 0githubgithub.com/fishyyh/CVE-2025-48384★ 0githubgithub.com/kallydev/cve-2025-48384-hook★ 0githubgithub.com/fishyyh/CVE-2025-48384-POC★ 0githubgithub.com/liamg/CVE-2025-48384-submodule★ 0githubgithub.com/vignesh21-git/CVE-2025-48384★ 0githubgithub.com/vignesh21-git/CVE-2025-48384-submodule★ 0githubgithub.com/DayDayDayDreaming/backup-exec-cve-48384★ 0githubgithub.com/sathish46-lab/CVE-2025-48384-submodule★ 0githubgithub.com/Fomovet/cve-2025-48384★ 0vulncheckvulncheck.com/xdb/85ecac734ebano verificadovulncheckvulncheck.com/xdb/583eeb993f62no verificadovulncheckvulncheck.com/xdb/696491bce452no verificadovulncheckvulncheck.com/xdb/820b0dfc1e72no verificadovulncheckvulncheck.com/xdb/e8327a39e5a8no verificadovulncheckvulncheck.com/xdb/c44ed6b9f03bno verificadovulncheckvulncheck.com/xdb/4b879217fcabno verificadovulncheckvulncheck.com/xdb/a0f8a326d3dano verificadovulncheckvulncheck.com/xdb/5e1fdf8f7625no verificadovulncheckvulncheck.com/xdb/4e8aef84594cno verificadovulncheckvulncheck.com/xdb/7af8ce70961bno verificadovulncheckvulncheck.com/xdb/7144f44519e1no verificadovulncheckvulncheck.com/xdb/524ca30fc382no verificadovulncheckvulncheck.com/xdb/93bba35073c8no verificadovulncheckvulncheck.com/xdb/fe9eebc482d0no verificadovulncheckvulncheck.com/xdb/1f087a80ac05no verificadovulncheckvulncheck.com/xdb/3f2582c2d65bno verificadovulncheckvulncheck.com/xdb/072dd40624a7no verificadovulncheckvulncheck.com/xdb/23fc2dbed681no verificadovulncheckvulncheck.com/xdb/1b8612e9755bno verificadovulncheckvulncheck.com/xdb/83191f028f8dno verificadovulncheckvulncheck.com/xdb/a11e31566701no verificadovulncheckvulncheck.com/xdb/4d2d6d214e95no verificadovulncheckvulncheck.com/xdb/d7a347c87e0cno verificadovulncheckvulncheck.com/xdb/3a7d4c49b3c9no verificadovulncheckvulncheck.com/xdb/e40fcc37d9a0no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.