استغلال تنفيذ الأوامر عن بُعد (RCE) في Git-lfs CVE-2020-27955 (نسخة .bat / powershell)

الضعف موجود في: git، GitHub CLI (gh)، GitHub Desktop، Visual Studio Code، SourceTree، SmartGit، GitKraken وغيرها.

اكتشفها Dawid Golunski

• https://legalhackers.com
• https://exploitbox.io

تم الاختبار على Windows على:

git، GitHub CLI (gh)، GitHub Desktop، Visual Studio Code، SourceTree، SmartGit، GitKraken وغيرها.

بشكل أساسي، عالم التطوير على Windows بأكمله ;)

اطّلع على الإعلانات الكاملة للتفاصيل ومعلومات التصحيح:

• https://exploitbox.io/vuln/Git-Git-LFS-RCE-Exploit-CVE-2020-27955.html
• https://legalhackers.com/advisories/Git-LFS-RCE-Exploit-CVE-2020-27955.html

فيديو توضيحي:

• https://youtu.be/tlptOf9w274

يوجد أيضًا إصدار Go لهذا الاستغلال:

• https://github.com/ExploitBox/git-lfs-RCE-exploit-CVE-2020-27955-Go