CVE-2024-52005: Iniezione di sequenze di escape ANSI in Git

Panoramica

Questo repository contiene un Proof-of-Concept (PoC) che dimostra CVE-2024-52005, una vulnerabilità in Git che permette l'iniezione di sequenze di escape ANSI attraverso il canale sideband durante le operazioni Git.

CVE-2024-52005 è una vulnerabilità di Alta gravità (CVSS 7.5) che colpisce le versioni di Git precedenti a 2.48.1, 2.47.3, 2.46.5, 2.45.4 e 2.44.3.

Il Problema

Questo PoC è stato creato per dimostrare che alcune immagini container hardened dichiarano erroneamente lo stato 'not_affected' nei loro documenti VEX (Vulnerability Exploitability eXchange), nonostante includano versioni vulnerabili di Git.

Impatto nel Mondo Reale

La vulnerabilità consente agli aggressori di:

• Nascondere comandi dannosi nell'output di Git usando codici ANSI invisibili
• Falsificare risultati di scansione di sicurezza nelle pipeline CI/CD
• Fare social engineering agli utenti con falsi messaggi di errore e avvisi di sicurezza
• Avvelenare i log di build per far apparire codice dannoso come build superate
• Manipolare il display del terminale durante operazioni critiche

Avvio Rapido

Opzione 1: Test con Docker (Nessun Clone Locale Richiesto)

Testa direttamente contro il container DHI ArgoCD usando questo repository GitHub:

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

Questo comando:

1. Clona il PoC da GitHub nel container
2. Esegue lo script di test all'interno del container
3. Mostra se le sequenze di escape ANSI passano

Se vedi ^[[31m o ^[[32m nell'output, la vulnerabilità è confermata.

Opzione 2: Test Locale (Un Comando)

Clona il repository ed esegui il test localmente:

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

Questo script:

1. Crea un repository Git con un hook dannoso contenente codici ANSI
2. Lo clona usando una versione vulnerabile di Git
3. Mostra se le sequenze di escape ANSI passano

Utilizzo del Framework di Sfruttamento Completo

# Crea repository dannoso con payload di social engineering
./exploit_cve_2024_52005.py create social_engineering

# Testa contro container vulnerabile
./exploit_cve_2024_52005.py test

# Visualizza i risultati
cat -v /tmp/cve-2024-52005-output.log

Contenuti del Repository

• test_ansi_injection.sh - Semplice script di test autonomo
• exploit_cve_2024_52005.py - Framework di sfruttamento completo con 8 payload di attacco
• QUICKSTART.md - Guida rapida con esempi
• TECHNICAL_DETAILS.md - Analisi tecnica completa e guida allo sfruttamento

Scenari di Attacco

1. Attacco alla Supply Chain tramite ArgoCD

L'aggressore crea un repository GitHub pubblico → ArgoCD lo clona automaticamente → L' hook Git inietta codici ANSI → Nasconde backdoor nei log di deployment

2. Avvelenamento della Pipeline CI/CD

Lo sviluppatore clona il repository → L' hook dannoso viene eseguito → Inietta falso 'Build SUPERATA' → I veri fallimenti sono nascosti → Codice vulnerabile distribuito in produzione

3. Bypass degli Strumenti di Sicurezza

Lo scanner di sicurezza clona il repository → L' hook inietta codici ANSI → Mostra '0 vulnerabilità' → Le vere vulnerabilità sono nascoste → Il codice dannoso supera la revisione

Tecniche di Sfruttamento

Il framework include 8 payload di attacco predefiniti:

1. fake_success - Mostra messaggi di successo falsi
2. hide_command - Nasconde comandi dannosi nell'output
3. cursor_manipulation - Sovrascrive avvisi con falso successo
4. social_engineering - Inganna gli utenti facendo eseguire lo script dell'aggressore
5. fake_vulnerability_scan - Nasconde le vere vulnerabilità
6. progress_bar - Crea indicatori di progresso falsi
7. urgent_warning - Crea falsa urgenza
8. log_poisoning - Inietta falso successo nei log CI/CD

Perché Questo è Importante

Molte immagini container dichiarano 'not_affected' per CVE-2024-52005 con la giustificazione:

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

Questo è errato per container progettati per clonare repository non fidati:

• ArgoCD clona repository Git di terze parti
• Gli strumenti CI/CD elaborano repository esterni
• Gli scanner di sicurezza analizzano codice non fidato

L'aggressore controlla effettivamente il percorso del codice vulnerabile attraverso gli hook Git e i messaggi sideband.

Versioni Affette

Versioni di Git affette da CVE-2024-52005:

• Tutte le versioni < 2.48.1
• Tutte le versioni < 2.47.3
• Tutte le versioni < 2.46.5
• Tutte le versioni < 2.45.4
• Tutte le versioni < 2.44.3

Mitigazione

Per gli Utenti Git

Aggiorna a una versione corretta:

# Controlla la tua versione
git --version

# Aggiorna tramite gestore pacchetti
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

Per i Manutentori di Immagini Container

1. Aggiorna Git nelle tue immagini alle versioni corrette
2. Aggiorna i documenti VEX per riflettere correttamente lo stato della vulnerabilità
3. Testa le tue immagini usando questo PoC

Soluzioni Temporanee

Se non puoi aggiornare immediatamente:

1. Clona solo repository da fonti fidate
2. Rivedi l'output di Git attraverso log sanitizzati
3. Esegui operazioni Git in ambienti sandbox

Test del Tuo Ambiente

# Testa qualsiasi immagine container
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# Cerca codici ANSI come ^[[31m nell'output

Riferimenti

• CVE-2024-52005 su NVD
• Avviso di sicurezza di Git
• Specifica OpenVEX

Divulgazione Responsabile

Questo PoC è stato creato per:

• Ricerca e istruzione sulla sicurezza
• Dimostrare valutazioni errate delle vulnerabilità
• Aiutare le organizzazioni a valutare correttamente il loro rischio
• Incoraggiare una documentazione VEX accurata

Solo per test di sicurezza autorizzati. Non utilizzare questo contro sistemi che non possiedi o per cui non hai permessi di test.

Licenza

Licenza MIT - Vedi file LICENSE per i dettagli

Autore

Creato come parte della ricerca sulla sicurezza delle immagini container, dimostrando l'importanza di una divulgazione e valutazione accurata delle vulnerabilità.

Contributi

Trovato un problema o hai miglioramenti? Le pull request sono benvenute!

• Segnala valutazioni VEX errate che trovi
• Aggiungi nuove tecniche di sfruttamento
• Migliora i metodi di rilevamento
• Migliora la documentazione