CVE-2024-52005

ملخص

Git هي أداة لإدارة الكود المصدري. عند الاستنساخ من خادم (أو الجلب، أو الدفع)، يتم نقل الرسائل المعلوماتية أو رسائل الخطأ من عملية Git البعيدة إلى العميل عبر ما يُسمى "قناة النطاق الجانبي" (sideband channel). تُسبَّق هذه الرسائل بالبادئة "remote:" وتُطبَع مباشرةً إلى مخرج الخطأ القياسي. عادةً، يكون مخرج الخطأ القياسي هذا متصلاً بطرفية تفهم تسلسلات الهروب ANSI، وهو ما لم تكن Git تحمي منه. تدعم معظم الطرفيات الحديثة تسلسلات تحكم يمكن أن يستخدمها طرف خبيث لإخفاء المعلومات أو تحريفها، أو لتضليل المستخدم لتنفيذ نصوص برمجية غير موثوقة. كما طُلب في القائمة البريدية لأمان Git، فإن التصحيحات قيد النقاش على القائمة البريدية العامة. يُنصح المستخدمون بالتحديث في أقرب وقت ممكن. أما المستخدمون غير القادرين على الترقية فينبغي عليهم تجنب الاستنساخ التكراري (recursive clones) ما لم يكن من مصادر موثوقة.

• cve-2024-52005-pocPoC

  إثبات المفهوم لـ CVE-2024-52005: حقن تسلسلات الهروب ANSI في Git. يوضح ادعاءات VEX غير الصحيحة 'not_affected' في صور الحاويات المحصّنة.