CVE-2024-52005: GitにおけるANSIエスケープシーケンスインジェクション

概要

このリポジトリには、CVE-2024-52005（Gitの脆弱性で、Git操作中にサイドバンドチャネルを介してANSIエスケープシーケンスの注入を可能にするもの）を実証するProof-of-Concept（PoC）が含まれています。

CVE-2024-52005は高重大性（CVSS 7.5）の脆弱性で、Gitバージョン2.48.1未満、2.47.3未満、2.46.5未満、2.45.4未満、2.44.3未満に影響します。

問題

このPoCは、特定の強化されたコンテナイメージが、脆弱なGitバージョンを出荷しているにもかかわらず、VEX（脆弱性悪用可能性交換）文書で誤って"not_affected"（影響なし）の状態を主張していることを示すために作成されました。

実際の影響

この脆弱性により、攻撃者は以下のことが可能になります：

• 悪意のあるコマンドを隠す：不可視のANSIコードを使用してGit出力内に隠す
• セキュリティスキャン結果を偽装する：CI/CDパイプラインで
• ソーシャルエンジニアリング：偽のエラーメッセージやセキュリティ警告でユーザーを騙す
• ビルドログを汚染する：悪意のあるコードを成功したビルドに見せかける
• 重要な操作中の端末表示を操作する

クイックスタート

オプション1: Dockerでテストする（ローカルクローン不要）

このGitHubリポジトリを使用して、DHI ArgoCDコンテナに対して直接テストします：

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

このコマンド：

1. PoCをGitHubからコンテナにクローンします
2. コンテナ内でテストスクリプトを実行します
3. ANSIエスケープシーケンスが通過するかどうかを表示します

出力に^[[31mまたは^[[32mが表示された場合、脆弱性が確認されます。

オプション2: ローカルテスト（1コマンド）

リポジトリをクローンしてローカルでテストを実行します：

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

このスクリプトは次のことを行います：

1. ANSIコードを含む悪意のあるフックを持つGitリポジトリを作成します
2. 脆弱なGitバージョンを使用してクローンします
3. ANSIエスケープシーケンスが通過するかどうかを表示します

完全なエクスプロイトフレームワークの使用

# ソーシャルエンジニアリングペイロードを使用して悪意のあるリポジトリを作成
./exploit_cve_2024_52005.py create social_engineering

# 脆弱なコンテナに対してテスト
./exploit_cve_2024_52005.py test

# 結果を表示
cat -v /tmp/cve-2024-52005-output.log

リポジトリの内容

• test_ansi_injection.sh - 簡単なスタンドアロンテストスクリプト
• exploit_cve_2024_52005.py - 8つの攻撃ペイロードを備えた完全なエクスプロイトフレームワーク
• QUICKSTART.md - 例付きのクイックスタートガイド
• TECHNICAL_DETAILS.md - 完全な技術分析とエクスプロイトガイド

攻撃シナリオ

1. ArgoCDを介したサプライチェーン攻撃

攻撃者が公開GitHubリポジトリを作成 → ArgoCDが自動的にクローン →
GitフックがANSIコードを注入 → デプロイメントログにバックドアを隠蔽

2. CI/CDパイプラインの汚染

開発者がリポジトリをクローン → 悪意のあるフックが実行 → 偽の「Build PASSED」を注入 →
実際の障害が隠蔽 → 脆弱なコードが本番環境にデプロイ

3. セキュリティツールのバイパス

セキュリティスキャナーがリポジトリをクローン → フックがANSIコードを注入 →
「0 vulnerabilities」と表示 → 実際の脆弱性が隠蔽 →
悪意のあるコードがレビューを通過

エクスプロイト手法

フレームワークには、8つの事前構築済み攻撃ペイロードが含まれています：

1. fake_success - 偽の成功メッセージを表示
2. hide_command - 出力内の悪意のあるコマンドを隠す
3. cursor_manipulation - 警告を偽の成功で上書き
4. social_engineering - ユーザーをだまして攻撃者のスクリプトを実行させる
5. fake_vulnerability_scan - 実際の脆弱性を隠す
6. progress_bar - 偽の進捗インジケータを作成
7. urgent_warning - 偽の緊急性を作成
8. log_poisoning - CI/CDログに偽の成功を注入

なぜこれが重要なのか

多くのコンテナイメージは、CVE-2024-52005に対して「not_affected」と主張し、その正当化として：

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

これは誤りです: 信頼できないリポジトリをクローンするように設計されたコンテナでは：

• ArgoCDはサードパーティのGitリポジトリをクローンします
• CI/CDツールは外部リポジトリを処理します
• セキュリティスキャナーは信頼できないコードを分析します

攻撃者はGitフックとサイドバンドメッセージを介して脆弱なコードパスを確かに制御します。

影響を受けるバージョン

CVE-2024-52005の影響を受けるGitバージョン：

• All versions < 2.48.1
• All versions < 2.47.3
• All versions < 2.46.5
• All versions < 2.45.4
• All versions < 2.44.3

緩和策

Gitユーザー向け

パッチ済みバージョンに更新してください：

# Check your version
git --version

# Update via package manager
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

コンテナイメージメンテナ向け

1. イメージ内のGitをパッチ済みバージョンに更新する
2. VEX文書を更新して脆弱性の状態を正しく反映する
3. このPoCを使用してイメージをテストする

一時的な回避策

すぐに更新できない場合：

1. 信頼できるソースからのみリポジトリをクローンする
2. サニタイズされたログを通じてGit出力を確認する
3. サンドボックス環境でGit操作を実行する

環境のテスト

# Test any container image
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# 出力内の^[[31mのようなANSIコードを探します

参考文献

• NVD上のCVE-2024-52005
• Gitセキュリティアドバイザリ
• OpenVEX仕様

責任ある開示

このPoCは以下の目的で作成されました：

• セキュリティ研究と教育
• 誤った脆弱性評価の実証
• 組織がリスクを適切に評価するのを支援
• 正確なVEX文書の促進

許可されたセキュリティテストのみを目的としています。 所有していない、またはテストする許可がないシステムに対しては使用しないでください。

ライセンス

MITライセンス - 詳細はLICENSEファイルを参照してください

著者

コンテナイメージのセキュリティ研究の一環として作成され、正確な脆弱性の開示と評価の重要性を示しています。

貢献

問題を見つけた、または改善点がありますか？プルリクエストを歓迎します！

• 見つけた誤ったVEX評価を報告する
• 新しいエクスプロイト手法を追加する
• 検出方法を改善する
• ドキュメントを充実させる