CVE-2024-52005: Inyección de Secuencias de Escape ANSI en Git

Resumen

Este repositorio contiene una Prueba de Concepto (PoC) que demuestra CVE-2024-52005, una vulnerabilidad en Git que permite la inyección de secuencias de escape ANSI a través del canal sideband durante operaciones de Git.

CVE-2024-52005 es una vulnerabilidad de Alta gravedad (CVSS 7.5) que afecta a versiones de Git anteriores a 2.48.1, 2.47.3, 2.46.5, 2.45.4 y 2.44.3.

El Problema

Esta PoC fue creada para demostrar que ciertas imágenes de contenedor endurecidas afirman incorrectamente el estado "not_affected" en sus documentos VEX (Vulnerability Exploitability eXchange), a pesar de incluir versiones vulnerables de Git.

Impacto en el Mundo Real

La vulnerabilidad permite a los atacantes:

• Ocultar comandos maliciosos en la salida de Git usando códigos ANSI invisibles
• Falsificar resultados de escaneos de seguridad en pipelines CI/CD
• Ingeniería social a usuarios con mensajes de error y alertas de seguridad falsos
• Envenenar registros de compilación para que el código malicioso aparezca como compilaciones exitosas
• Manipular la visualización del terminal durante operaciones críticas

Inicio Rápido

Opción 1: Probar con Docker (Sin necesidad de clonar localmente)

Prueba directamente contra el contenedor DHI ArgoCD usando este repositorio de GitHub:

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

Este comando:

1. Clona la PoC desde GitHub dentro del contenedor
2. Ejecuta el script de prueba dentro del contenedor
3. Muestra si las secuencias de escape ANSI pasan a través

Si ves ^[[31m o ^[[32m en la salida, la vulnerabilidad está confirmada.

Opción 2: Prueba Local (Un Comando)

Clona el repositorio y ejecuta la prueba localmente:

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

Este script:

1. Creará un repositorio Git con un hook malicioso que contiene códigos ANSI
2. Lo clonará usando una versión vulnerable de Git
3. Mostrará si las secuencias de escape ANSI pasan a través

Usando el Framework Completo de Explotación

# Create malicious repository with social engineering payload
./exploit_cve_2024_52005.py create social_engineering

# Test against vulnerable container
./exploit_cve_2024_52005.py test

# View results
cat -v /tmp/cve-2024-52005-output.log

Contenido del Repositorio

• test_ansi_injection.sh - Script de prueba autónomo simple
• exploit_cve_2024_52005.py - Framework completo de explotación con 8 payloads de ataque
• QUICKSTART.md - Guía de inicio rápido con ejemplos
• TECHNICAL_DETAILS.md - Análisis técnico completo y guía de explotación

Escenarios de Ataque

1. Ataque a la Cadena de Suministro vía ArgoCD

Attacker creates public GitHub repo → ArgoCD clones it automatically →
Git hook injects ANSI codes → Hides backdoor in deployment logs

2. Envenenamiento de Pipeline CI/CD

Developer clones repo → Malicious hook runs → Injects fake "Build PASSED" →
Real failures hidden → Vulnerable code deployed to production

3. Bypass de Herramientas de Seguridad

Security scanner clones repo → Hook injects ANSI codes →
Shows "0 vulnerabilities" → Real vulnerabilities hidden →
Malicious code passes review

Técnicas de Explotación

El framework incluye 8 payloads de ataque preconstruidos:

1. fake_success - Mostrar mensajes de éxito falsos
2. hide_command - Ocultar comandos maliciosos en la salida
3. cursor_manipulation - Sobrescribir advertencias con éxito falso
4. social_engineering - Engañar a usuarios para que ejecuten el script del atacante
5. fake_vulnerability_scan - Ocultar vulnerabilidades reales
6. progress_bar - Crear indicadores de progreso falsos
7. urgent_warning - Crear urgencia falsa
8. log_poisoning - Inyectar éxito falso en registros CI/CD

Por Qué Esto Importa

Muchas imágenes de contenedor afirman "not_affected" para CVE-2024-52005 con la justificación:

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

Esto es incorrecto para contenedores diseñados para clonar repositorios no confiables:

• ArgoCD clona repositorios Git de terceros
• Las herramientas CI/CD procesan repositorios externos
• Los escáneres de seguridad analizan código no confiable

El atacante sí controla la ruta de código vulnerable a través de hooks de Git y mensajes sideband.

Versiones Afectadas

Versiones de Git afectadas por CVE-2024-52005:

• Todas las versiones < 2.48.1
• Todas las versiones < 2.47.3
• Todas las versiones < 2.46.5
• Todas las versiones < 2.45.4
• Todas las versiones < 2.44.3

Mitigación

Para Usuarios de Git

Actualiza a una versión parcheada:

# Check your version
git --version

# Update via package manager
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

Para Mantenedores de Imágenes de Contenedor

1. Actualiza Git en tus imágenes a versiones parcheadas
2. Actualiza los documentos VEX para reflejar correctamente el estado de la vulnerabilidad
3. Prueba tus imágenes usando esta PoC

Soluciones Temporales

Si no puedes actualizar de inmediato:

1. Clona solo repositorios de fuentes confiables
2. Revisa la salida de Git mediante registro saneado
3. Ejecuta operaciones de Git en entornos aislados

Probando tu Entorno

# Test any container image
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# Look for ANSI codes like ^[[31m in the output

Referencias

• CVE-2024-52005 en NVD
• Aviso de Seguridad de Git
• Especificación OpenVEX

Divulgación Responsable

Esta PoC fue creada para:

• Investigación y educación en seguridad
• Demostrar evaluaciones de vulnerabilidad incorrectas
• Ayudar a las organizaciones a evaluar correctamente su riesgo
• Fomentar la documentación VEX precisa

Solo para pruebas de seguridad autorizadas. No uses esto contra sistemas que no poseas o para los que no tengas permiso de prueba.

Licencia

Licencia MIT - Consulta el archivo LICENSE para más detalles

Autor

Creado como parte de la investigación de seguridad de imágenes de contenedor, demostrando la importancia de una divulgación y evaluación precisa de vulnerabilidades.

Contribuir

¿Encontraste un problema o tienes mejoras? ¡Las solicitudes de extracción son bienvenidas!

• Reporta evaluaciones VEX incorrectas que encuentres
• Añade nuevas técnicas de explotación
• Mejora los métodos de detección
• Mejora la documentación