CVE-2024-32465highCWE-22

CVE-2024-32465: falha de alta gravidade em git

Git's protections for cloning untrusted repositories can be bypassed

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar git+ Monitorar git

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.4epss 1.0%
Em resumo

Os recursos de segurança do Git que protegem contra clonagem de repositórios não confiáveis podem ser contornados, permitindo que código malicioso seja executado no seu computador. Isso é especialmente perigoso ao baixar um repositório Git em arquivo ZIP de fontes não confiáveis, pois hooks ocultos podem ser executados sem o seu conhecimento.

Detalhe técnico

Vulnerabilidades de path traversal e execução de hooks no Git contornam as proteções projetadas para clonar com segurança repositórios locais não confiáveis. Um atacante pode criar um arquivo de repositório Git malicioso (ex: ZIP) com hooks configurados especialmente para executar durante operações de clone, contornando verificações de segurança em versões anteriores a 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 e 2.39.4. A mitigação requer atualização para versões corrigidas ou evitar operações do Git em repositórios de fontes não confiáveis.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Git is a revision control system. The Git project recommends to avoid working in untrusted repositories, and instead to clone it first with `git clone --no-local` to obtain a clean copy. Git has specific protections to make that a safe operation even with an untrusted source repository, but vulnerabilities allow those protections to be bypassed. In the context of cloning local repositories owned by other users, this vulnerability has been covered in CVE-2024-32004. But there are circumstances where the fixes for CVE-2024-32004 are not enough: For example, when obtaining a `.zip` file containing a full copy of a Git repository, it should not be trusted by default to be safe, as e.g. hooks could be configured to run within the context of that repository. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. As a workaround, avoid using Git in repositories that have been obtained via archives from untrusted sources.
CVSS:3.1/AV:P/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Produtos afetados
git · git
CVEs relacionadas — git

No mesmo produto, das mais perigosas para as menos.

CVE-2025-48384HIGHGit allows arbitrary code execution through broken config quotingEPSS 4.5%KEVCVE-2021-21300HIGHmalicious repositories can execute remote code while cloningEPSS 88.5%CVE-2022-23521CRITICALgitattributes parsing integer overflow in gitEPSS 56.3%CVE-2023-25652HIGH"git apply --reject" partially-controlled arbitrary file writeEPSS 51.9%CVE-2022-41903CRITICALInteger overflow in `git archive`, `git log --format` leading to RCE in gitEPSS 44.3%CVE-2024-32002CRITICALGit's recursive clones on case-insensitive filesystems that support symlinks are susceptible to Remote Code ExecutionEPSS 29.2%