CVE-2025-23040

概要

GitHub Desktop は、git 開発用に設計されたオープンソースの Electron ベースの GitHub アプリです。攻撃者がユーザーを騙してリポジトリを直接、またはサブモジュール経由でクローンさせた場合、悪意を持って細工されたリモート URL を使用することで、攻撃者はユーザーの認証情報にアクセスできる可能性があります。GitHub Desktop は、クローン、フェッチ、プッシュなどのネットワーク関連の操作をすべて実行するために Git に依存しています。ユーザーがリポジトリのクローンを試みると、GitHub Desktop は `git clone` を呼び出し、Git が認証を必要とするリモートに遭遇すると、git-credential プロトコルを使用して GitHub Desktop にそのリモートホストの認証情報を要求します。悪意を持って細工された URL を使用すると、Git から送信された認証情報要求が GitHub Desktop によって誤って解釈され、Git が現在通信しているホストとは異なるホストの認証情報が送信される可能性があり、これにより秘密情報の外部流出が可能になります。GitHub Desktop に保存されている GitHub ユーザー名と OAuth トークン、または他の Git リモートホストの認証情報が、無関係なホストに不正に送信される可能性があります。ユーザーは、この脆弱性を修正した GitHub Desktop 3.4.12 以降に更新する必要があります。影響を受ける可能性があると思われるユーザーは、関連する認証情報をすべて失効させる必要があります。

• CVE-2025-23040PoC

  CVE-2025-23041の概念実証エクスプロイト。悪意のあるリポジトリクローンURLを介してGitHub Desktop（<3.4.12）から資格情報を流出させ、OAuthトークンを漏洩させます。