CVE-2024-52005

概要

Gitはソースコード管理ツールです。サーバーからクローン（またはフェッチ、プッシュ）する際、情報メッセージやエラーメッセージは、いわゆる「サイドバンドチャネル」を介してリモートのGitプロセスからクライアントに転送されます。これらのメッセージには「remote:」という接頭辞が付けられ、標準エラー出力に直接出力されます。通常、この標準エラー出力はANSIエスケープシーケンスを解釈するターミナルに接続されており、Gitはこれに対する保護を行っていませんでした。最近のほとんどのターミナルは制御シーケンスをサポートしており、悪意のある攻撃者が情報を隠蔽したり偽装したり、ユーザーを騙して信頼できないスクリプトを実行させたりするために悪用される可能性があります。git-securityメーリングリストでの要請により、パッチは公開メーリングリストで議論されています。ユーザーはできるだけ早く更新することをお勧めします。アップグレードできないユーザーは、信頼できるソースからのものでない限り、再帰的クローンを避けるべきです。

• cve-2024-52005-pocPoC

  CVE-2024-52005 の概念実証: Git における ANSI エスケープシーケンスインジェクション。強化されたコンテナイメージにおける誤った 'not_affected' VEX 主張を示します。