CVE-2024-52005: حقن تسلسلات هروب ANSI في Git

نظرة عامة

يحتوي هذا المستودع على إثبات مفهوم (PoC) يوضح CVE-2024-52005، وهي ثغرة في Git تسمح بحقن تسلسلات هروب ANSI عبر قناة sideband أثناء عمليات Git.

CVE-2024-52005 هي ثغرة عالية الخطورة (CVSS 7.5) تؤثر على إصدارات Git الأقدم من 2.48.1 و2.47.3 و2.46.5 و2.45.4 و2.44.3.

المشكلة

تم إنشاء إثبات المفهوم هذا لإظهار أن بعض صور الحاويات المحصّنة تدّعي بشكل غير صحيح حالة "not_affected" في مستندات VEX (Vulnerability Exploitability eXchange) الخاصة بها، على الرغم من أنها تشحن إصدارات Git معرّضة للخطر.

التأثير في العالم الحقيقي

تسمح الثغرة للمهاجمين بـ:

• إخفاء الأوامر الخبيثة في مخرجات Git باستخدام أكواد ANSI غير مرئية
• تزييف نتائج فحوصات الأمان في خطوط CI/CD
• خداع المستخدمين عبر الهندسة الاجتماعية برسائل خطأ وتنبيهات أمنية مزيفة
• تسميم سجلات البناء لجعل الكود الخبيث يظهر كبنيات ناجحة
• التلاعب بعرض الطرفية أثناء العمليات الحرجة

بدء سريع

الخيار 1: الاختبار باستخدام Docker (بدون استنساخ محلي)

اختبر مباشرةً ضد حاوية DHI ArgoCD باستخدام مستودع GitHub هذا:

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

يقوم هذا الأمر بـ:

1. استنساخ إثبات المفهوم من GitHub داخل الحاوية
2. تشغيل سكربت الاختبار داخل الحاوية
3. إظهار ما إذا كانت تسلسلات هروب ANSI تمر عبر النظام

إذا رأيت ^[[31m أو ^[[32m في المخرجات، فالثغرة مؤكدة.

الخيار 2: اختبار محلي (أمر واحد)

استنسخ المستودع وشغّل الاختبار محليًا:

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

يقوم هذا السكربت بـ:

1. إنشاء مستودع Git بخطاف خبيث يحتوي على أكواد ANSI
2. استنساخه باستخدام إصدار Git معرّض للخطر
3. إظهار ما إذا كانت تسلسلات هروب ANSI تمر عبر النظام

استخدام إطار الاستغلال الكامل

# Create malicious repository with social engineering payload
./exploit_cve_2024_52005.py create social_engineering

# Test against vulnerable container
./exploit_cve_2024_52005.py test

# View results
cat -v /tmp/cve-2024-52005-output.log

محتويات المستودع

• test_ansi_injection.sh - سكربت اختبار مستقل بسيط
• exploit_cve_2024_52005.py - إطار استغلال كامل مع 8 حمولات هجومية
• QUICKSTART.md - دليل بدء سريع مع أمثلة
• TECHNICAL_DETAILS.md - تحليل فني كامل ودليل استغلال

سيناريوهات الهجوم

1. هجوم سلسلة التوريد عبر ArgoCD

ينشئ المهاجم مستودع GitHub عامًا → يستنسخه ArgoCD تلقائيًا →
يحقن خطاف Git أكواد ANSI → يخفي بابًا خلفيًا في سجلات النشر

2. تسميم خط أنابيب CI/CD

يستنسخ المطوّر المستودع → يعمل الخطاف الخبيث → يحقن "Build PASSED" مزيفًا →
تُخفى الإخفاقات الحقيقية → يُنشر الكود المعرّض للخطر إلى الإنتاج

3. تجاوز أدوات الأمان

يستنسخ ماسح الأمان المستودع → يحقن الخطاف أكواد ANSI →
يعرض "0 vulnerabilities" → تُخفى الثغرات الحقيقية →
يجتاز الكود الخبيث المراجعة

تقنيات الاستغلال

يتضمن الإطار 8 حمولات هجومية جاهزة مسبقًا:

1. fake_success - عرض رسائل نجاح مزيفة
2. hide_command - إخفاء الأوامر الخبيثة في المخرجات
3. cursor_manipulation - الكتابة فوق التحذيرات بنجاح مزيف
4. social_engineering - خداع المستخدمين لتشغيل سكربت المهاجم
5. fake_vulnerability_scan - إخفاء الثغرات الحقيقية
6. progress_bar - إنشاء مؤشرات تقدم مزيفة
7. urgent_warning - خلق حالة إلحاح زائفة
8. log_poisoning - حقن نجاح مزيف في سجلات CI/CD

لماذا هذا مهم

تدّعي العديد من صور الحاويات أنها "not_affected" تجاه CVE-2024-52005 مع التبرير:

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

هذا غير صحيح بالنسبة للحاويات المصممة لاستنساخ مستودعات غير موثوقة:

• يستنسخ ArgoCD مستودعات Git تابعة لجهات خارجية
• تعالج أدوات CI/CD مستودعات خارجية
• تحلل ماسحات الأمان كودًا غير موثوق

يمتلك المهاجم بالفعل السيطرة على مسار الكود المعرّض للخطر عبر خطافات Git ورسائل sideband.

الإصدارات المتأثرة

إصدارات Git المتأثرة بـ CVE-2024-52005:

• جميع الإصدارات الأقدم من 2.48.1
• جميع الإصدارات الأقدم من 2.47.3
• جميع الإصدارات الأقدم من 2.46.5
• جميع الإصدارات الأقدم من 2.45.4
• جميع الإصدارات الأقدم من 2.44.3

التخفيف

لمستخدمي Git

حدّث إلى إصدار مصحّح:

# Check your version
git --version

# Update via package manager
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

لمشرفي صور الحاويات

1. حدّث Git في صورك إلى إصدارات مصحّحة
2. حدّث مستندات VEX لتعكس حالة الثغرة بشكل صحيح
3. اختبر صورك باستخدام إثبات المفهوم هذا

حلول مؤقتة

إذا لم تتمكن من التحديث فورًا:

1. استنسخ المستودعات من مصادر موثوقة فقط
2. راجع مخرجات Git عبر تسجيل مُعقّم
3. شغّل عمليات Git في بيئات معزولة

اختبار بيئتك

# Test any container image
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# Look for ANSI codes like ^[[31m in the output

المراجع

• CVE-2024-52005 على NVD
• استشارة أمان Git
• مواصفات OpenVEX

الإفصاح المسؤول

تم إنشاء إثبات المفهوم هذا من أجل:

• البحث الأمني والتعليم
• إظهار تقييمات الثغرات غير الصحيحة
• مساعدة المؤسسات على تقييم مخاطرها بشكل صحيح
• تشجيع توثيق VEX الدقيق

للاستخدام في الاختبارات الأمنية المصرح بها فقط. لا تستخدم هذا ضد أنظمة لا تملكها أو ليس لديك إذن باختبارها.

الترخيص

رخصة MIT - راجع ملف LICENSE للتفاصيل

المؤلف

أُنشئ كجزء من أبحاث أمان صور الحاويات، لإظهار أهمية الإفصاح الدقيق عن الثغرات وتقييمها.

المساهمة

وجدت مشكلة أو لديك تحسينات؟ نرحب بطلبات السحب (Pull Requests)!

• أبلغ عن تقييمات VEX غير الصحيحة التي تجدها
• أضف تقنيات استغلال جديدة
• حسّن طرق الكشف
• حسّن التوثيق