CVE-2023-23946
Git का git apply कार्यशील ट्री के बाहर के पथों को अधिलेखित करना
- प्रकाशित
- 14 फ़र॰ 2023
- अद्यतन
- 8 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 66.0%
- मॉडल दिनांक
- 19 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
गिट (Git), एक रिवीजन नियंत्रण प्रणाली, संस्करण 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 और 2.30.8 से पहले पाथ ट्रैवर्सल (path traversal) भेद्यता से ग्रस्त है। `git apply` को विशेष रूप से तैयार इनपुट देकर, कार्यशील ट्री (working tree) के बाहर किसी पाथ को उस उपयोगकर्ता के रूप में अधिलेखित किया जा सकता है जो `git apply` चला रहा है। एक सुधार तैयार किया गया है और यह v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 और v2.30.8 में उपलब्ध होगा। वैकल्पिक उपाय के रूप में, पैच लगाने से पहले उसका निरीक्षण करने के लिए `git apply --stat` का उपयोग करें; ऐसा पैच लगाने से बचें जो एक सिम्बोलिक लिंक बनाता है और फिर उस सिम्बोलिक लिंक के आगे एक फ़ाइल बनाता है।
स्रोत
Original standalone Proof-of-Concept exploit for CVE-2023-23946 (Git path traversal via crafted patches in git-apply).
CVE-2023-23946 की व्याख्या और POC
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।