💥 CVE-2024-32002 – Git Submodule Path Injection PoC

Motivazione

Durante la risoluzione della macchina Compiled della piattaforma Hack The Box, mi sono imbattuto in un comportamento curioso che coinvolge Git e sottomoduli. Investigando più a fondo, ho trovato questo eccellente post del ricercatore Amal Murali, che descrive nel dettaglio una tecnica di injection del percorso tramite .gitmodules. Da lì, ho deciso di studiare il CVE-2024-32002 e creare una PoC pratica che dimostrasse l'impatto reale della vulnerabilità.

🧠 Panoramica della vulnerabilità

Il CVE-2024-32002 sfrutta una falla critica in Git relativa alla risoluzione dei percorsi dei sottomoduli. Git consente ai repository di includere sottomoduli definiti nel file .gitmodules, specificando percorso e URL. La vulnerabilità emerge quando il percorso viene manipolato per puntare all'interno della directory .git, che memorizza metadati e configurazioni interne del repository.

Combinando:

• Manipolazione del .gitmodules per definire il percorso come A/modules/x
• Creazione di un symlink a → .git

…il Git viene ingannato e risolve A/modules/x come .git/modules/x, cioè all'interno della directory interna .git. Ciò consente a un attaccante di iniettare file arbitrari come hook malevoli che possono essere eseguiti in operazioni legittime come checkout, merge o clone.

Questa vulnerabilità rappresenta un vettore di esecuzione remota di codice, particolarmente pericoloso in ambienti CI/CD, automazioni o repository condivisi.

⚙️ Cosa dimostra lo script setup.sh

Questo script automatizza la creazione di un ambiente vulnerabile e riproduce l'impatto della falla:

1. Crea un sottomodulo malevolo (hook-repo) contenente un hook post-checkout che scrive in /tmp/teste.txt
2. Inizializza il repository principale (main-repo) e aggiunge il sottomodulo
3. Modifica il file .gitmodules per reindirizzare il percorso del sottomodulo a A/modules/x
4. Crea un symlink a → .git, facendo sì che A/modules/x venga risolto come .git/modules/x
5. Inietta il .gitmodules malevolo nell'indice usando git update-index --index-info
6. Esegue un commit legittimo per simulare attività normale
7. Clona il repository (cloned-repo) con , inizializzando il sottomodulo

Se l'operazione riesce, l'hook viene eseguito e il file /tmp/teste.txt viene creato con il contenuto:

joao was here

🐳 Ambiente Docker

Questo repository include un Dockerfile che:

1. **Installa Git 2.45.0 (versione vulnerabile)
2. **Crea un utente normale (joao)
3. **Copia i file della PoC
4. **Esegue automaticamente setup.sh

🔧 Come riprodurre

docker build -t git-cve-poc .
docker run --rm -it git-cve-poc

🔐 Impatto e mitigazione

Questa vulnerabilità colpisce le versioni di Git precedenti alla 2.45.1. La falla è stata corretta con validazioni più rigorose nella risoluzione dei percorsi dei sottomoduli. I repository che usano sottomoduli dovrebbero essere sottoposti ad audit e gli ambienti automatizzati dovrebbero essere aggiornati immediatamente.

⚠️ Avviso legale

Questo progetto è solo a scopo educativo e di ricerca. Non usarlo in ambienti di produzione. L'obiettivo è dimostrare l'impatto tecnico della vulnerabilità e promuovere buone pratiche di sicurezza.