CVE-2024-52005: Git में ANSI एस्केप सीक्वेंस इंजेक्शन

अवलोकन

इस रिपॉजिटरी में CVE-2024-52005 का प्रूफ-ऑफ-कॉन्सेप्ट (PoC) है, जो Git में एक कमज़ोरी है जो Git संचालन के दौरान साइडबैंड चैनल के माध्यम से ANSI एस्केप सीक्वेंस इंजेक्शन की अनुमति देती है।

CVE-2024-52005 एक उच्च गंभीरता (CVSS 7.5) की कमज़ोरी है जो Git के 2.48.1, 2.47.3, 2.46.5, 2.45.4 और 2.44.3 से पहले के संस्करणों को प्रभावित करती है।

समस्या

यह PoC यह प्रदर्शित करने के लिए बनाया गया था कि कुछ कठोर कंटेनर छवियाँ अपने VEX (Vulnerability Exploitability eXchange) दस्तावेज़ों में गलत तरीके से "not_affected" की स्थिति का दावा करती हैं, जबकि वे कमज़ोर Git संस्करण वितरित करती हैं।

वास्तविक-विश्व प्रभाव

कमज़ोरी हमलावरों को अनुमति देती है:

• Git आउटपुट में अदृश्य ANSI कोड का उपयोग करके दुर्भावनापूर्ण कमांड छिपाना
• CI/CD पाइपलाइनों में नकली सुरक्षा स्कैन परिणाम बनाना
• नकली त्रुटि संदेशों और सुरक्षा अलर्ट के साथ उपयोगकर्ताओं को सोशल इंजीनियर करना
• बिल्ड लॉग को जहर देना ताकि दुर्भावनापूर्ण कोड पासिंग बिल्ड के रूप में दिखाई दे
• महत्वपूर्ण संचालन के दौरान टर्मिनल डिस्प्ले में हेरफेर करना

त्वरित प्रारंभ

विकल्प 1: Docker के साथ परीक्षण (कोई स्थानीय क्लोन आवश्यक नहीं)

इस GitHub रेपो का उपयोग करके सीधे DHI ArgoCD कंटेनर के विरुद्ध परीक्षण करें:

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

यह कमांड:

1. GitHub से PoC को कंटेनर में क्लोन करता है
2. कंटेनर के अंदर परीक्षण स्क्रिप्ट चलाता है
3. दिखाता है कि क्या ANSI एस्केप सीक्वेंस गुज़रते हैं

यदि आउटपुट में ^[[31m या ^[[32m दिखाई देता है, तो कमज़ोरी की पुष्टि हो जाती है।

विकल्प 2: स्थानीय परीक्षण (एक कमांड)

रेपो को क्लोन करें और स्थानीय रूप से परीक्षण चलाएं:

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

यह स्क्रिप्ट:

1. ANSI कोड वाला एक दुर्भावनापूर्ण हुक युक्त Git रिपॉजिटरी बनाएगी
2. इसे कमज़ोर Git संस्करण का उपयोग करके क्लोन करेगी
3. दिखाएगी कि क्या ANSI एस्केप सीक्वेंस गुज़रते हैं

पूर्ण शोषण ढाँचे का उपयोग करना

# सोशल इंजीनियरिंग पेलोड के साथ दुर्भावनापूर्ण रिपॉजिटरी बनाएं
./exploit_cve_2024_52005.py create social_engineering

# कमज़ोर कंटेनर के विरुद्ध परीक्षण करें
./exploit_cve_2024_52005.py test

# परिणाम देखें
cat -v /tmp/cve-2024-52005-output.log

रिपॉजिटरी सामग्री

• test_ansi_injection.sh - सरल स्वतंत्र परीक्षण स्क्रिप्ट
• exploit_cve_2024_52005.py - 8 हमला पेलोड के साथ पूर्ण शोषण ढाँचा
• QUICKSTART.md - उदाहरणों के साथ त्वरित प्रारंभ गाइड
• TECHNICAL_DETAILS.md - पूर्ण तकनीकी विश्लेषण और शोषण गाइड

हमला परिदृश्य

1. ArgoCD के माध्यम से आपूर्ति श्रृंखला हमला

हमलावर सार्वजनिक GitHub रेपो बनाता है → ArgoCD इसे स्वचालित रूप से क्लोन करता है →
Git हुक ANSI कोड इंजेक्ट करता है → डिप्लॉयमेंट लॉग में बैकडोर छिपाता है

2. CI/CD पाइपलाइन विषाक्तीकरण

डेवलपर रेपो क्लोन करता है → दुर्भावनापूर्ण हुक चलता है → नकली "Build PASSED" इंजेक्ट करता है →
वास्तविक विफलताएँ छिप जाती हैं → कमज़ोर कोड प्रोडक्शन में तैनात हो जाता है

3. सुरक्षा उपकरण बाईपास

सुरक्षा स्कैनर रेपो क्लोन करता है → हुक ANSI कोड इंजेक्ट करता है →
"0 vulnerabilities" दिखाता है → वास्तविक कमज़ोरियाँ छिप जाती हैं →
दुर्भावनापूर्ण कोड समीक्षा पास कर लेता है

शोषण तकनीकें

ढाँचे में 8 पूर्व-निर्मित हमला पेलोड शामिल हैं:

1. fake_success - नकली सफलता संदेश प्रदर्शित करें
2. hide_command - आउटपुट में दुर्भावनापूर्ण कमांड छिपाएं
3. cursor_manipulation - नकली सफलता के साथ चेतावनियाँ अधिलेखित करें
4. social_engineering - उपयोगकर्ताओं को हमलावर की स्क्रिप्ट चलाने के लिए धोखा दें
5. fake_vulnerability_scan - वास्तविक कमज़ोरियाँ छिपाएं
6. progress_bar - नकली प्रगति संकेतक बनाएं
7. urgent_warning - झूठी तात्कालिकता बनाएं
8. log_poisoning - CI/CD लॉग में नकली सफलता इंजेक्ट करें

यह क्यों मायने रखता है

कई कंटेनर छवियाँ CVE-2024-52005 के लिए "not_affected" का दावा करती हैं, जिसमें औचित्य:

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

यह गलत है उन कंटेनरों के लिए जो अविश्वसनीय रिपॉजिटरी को क्लोन करने के लिए डिज़ाइन किए गए हैं:

• ArgoCD तृतीय-पक्ष Git रिपॉजिटरी को क्लोन करता है
• CI/CD उपकरण बाहरी रिपॉजिटरी को संसाधित करते हैं
• सुरक्षा स्कैनर अविश्वसनीय कोड का विश्लेषण करते हैं

हमलावर Git हुक और साइडबैंड संदेशों के माध्यम से कमज़ोर कोड पथ को नियंत्रित करता है।

प्रभावित संस्करण

CVE-2024-52005 से प्रभावित Git संस्करण:

• सभी संस्करण < 2.48.1
• सभी संस्करण < 2.47.3
• सभी संस्करण < 2.46.5
• सभी संस्करण < 2.45.4
• सभी संस्करण < 2.44.3

शमन

Git उपयोगकर्ताओं के लिए

पैच किए गए संस्करण में अपडेट करें:

# अपना संस्करण जाँचें
git --version

# पैकेज मैनेजर के माध्यम से अपडेट करें
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

कंटेनर छवि अनुरक्षकों के लिए

1. अपनी छवियों में Git को अपडेट करें पैच किए गए संस्करणों में
2. कमज़ोरी की स्थिति को सही ढंग से दर्शाने के लिए VEX दस्तावेज़ अपडेट करें
3. इस PoC का उपयोग करके अपनी छवियों का परीक्षण करें

अस्थायी समाधान

यदि तुरंत अपडेट नहीं कर सकते:

1. केवल विश्वसनीय स्रोतों से रिपॉजिटरी क्लोन करें
2. संपादित लॉगिंग के माध्यम से Git आउटपुट की समीक्षा करें
3. Git संचालन को सैंडबॉक्स वातावरण में चलाएं

अपने वातावरण का परीक्षण

# किसी भी कंटेनर छवि का परीक्षण करें
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# आउटपुट में ^[[31m जैसे ANSI कोड देखें

संदर्भ

• NVD पर CVE-2024-52005
• Git सुरक्षा सलाहकार
• OpenVEX विनिर्देश

जिम्मेदार प्रकटीकरण

यह PoC इसके लिए बनाया गया था:

• सुरक्षा अनुसंधान और शिक्षा
• गलत कमज़ोरी मूल्यांकन का प्रदर्शन
• संगठनों को अपने जोखिम का उचित मूल्यांकन करने में मदद करना
• सटीक VEX दस्तावेज़ीकरण को प्रोत्साहित करना

केवल अधिकृत सुरक्षा परीक्षण के लिए। इसका उपयोग उन प्रणालियों के विरुद्ध न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण की अनुमति नहीं है।

लाइसेंस

MIT लाइसेंस - विवरण के लिए LICENSE फ़ाइल देखें

लेखक

कंटेनर छवि सुरक्षा अनुसंधान के भाग के रूप में बनाया गया, जो सटीक कमज़ोरी प्रकटीकरण और मूल्यांकन के महत्व को प्रदर्शित करता है।

योगदान

कोई समस्या मिली या सुधार हैं? पुल रिक्वेस्ट का स्वागत है!

• आपको मिले गलत VEX मूल्यांकनों की रिपोर्ट करें
• नई शोषण तकनीकें जोड़ें
• पहचान विधियों में सुधार करें
• दस्तावेज़ीकरण बढ़ाएं