CVE-2024-52005: Injeção de Sequências de Escape ANSI no Git

Visão Geral

Este repositório contém uma Prova de Conceito (PoC) que demonstra a CVE-2024-52005, uma vulnerabilidade no Git que permite a injeção de sequências de escape ANSI através do canal sideband durante operações do Git.

CVE-2024-52005 é uma vulnerabilidade de alta gravidade (CVSS 7.5) que afeta as versões do Git anteriores a 2.48.1, 2.47.3, 2.46.5, 2.45.4 e 2.44.3.

O Problema

Esta PoC foi criada para demonstrar que determinadas imagens de contêineres endurecidas afirmam incorretamente o status "not_affected" em seus documentos VEX (Vulnerability Exploitability eXchange), apesar de distribuírem versões vulneráveis do Git.

Impacto no Mundo Real

A vulnerabilidade permite que atacantes:

• Ocultem comandos maliciosos na saída do Git usando códigos ANSI invisíveis
• Falsifiquem resultados de varredura de segurança em pipelines de CI/CD
• Apliquem engenharia social em usuários com mensagens de erro falsas e alertas de segurança
• Envenenem logs de build para fazer o código malicioso parecer builds bem-sucedidas
• Manipulem a exibição do terminal durante operações críticas

Início Rápido

Opção 1: Teste com Docker (sem necessidade de clone local)

Teste diretamente contra o contêiner DHI ArgoCD usando este repositório do GitHub:

docker run --rm -it dhi.io/argocd:3 sh -c '
  git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git /tmp/poc &&
  cd /tmp/poc &&
  sh docker-test.sh
'

Este comando:

1. Clona a PoC do GitHub para dentro do contêiner
2. Executa o script de teste dentro do contêiner
3. Mostra se as sequências de escape ANSI são repassadas

Se você vir ^[[31m ou ^[[32m na saída, a vulnerabilidade é confirmada.

Opção 2: Teste local (um comando)

Clone o repositório e execute o teste localmente:

git clone https://github.com/andrewd-cg/cve-2024-52005-poc.git
cd cve-2024-52005-poc
./test_ansi_injection.sh

Este script vai:

1. Criar um repositório Git com um hook malicioso contendo códigos ANSI
2. Cloná-lo usando uma versão vulnerável do Git
3. Mostrar se as sequências de escape ANSI são repassadas

Usando o Framework Completo de Exploração

# Create malicious repository with social engineering payload
./exploit_cve_2024_52005.py create social_engineering

# Test against vulnerable container
./exploit_cve_2024_52005.py test

# View results
cat -v /tmp/cve-2024-52005-output.log

Conteúdo do Repositório

• test_ansi_injection.sh - Script de teste autônomo simples
• exploit_cve_2024_52005.py - Framework completo de exploração com 8 payloads de ataque
• QUICKSTART.md - Guia de início rápido com exemplos
• TECHNICAL_DETAILS.md - Análise técnica completa e guia de exploração

Cenários de Ataque

1. Ataque à Cadeia de Suprimentos via ArgoCD

Attacker creates public GitHub repo → ArgoCD clones it automatically →
Git hook injects ANSI codes → Hides backdoor in deployment logs

2. Envenenamento de Pipeline de CI/CD

Developer clones repo → Malicious hook runs → Injects fake "Build PASSED" →
Real failures hidden → Vulnerable code deployed to production

3. Bypass de Ferramentas de Segurança

Security scanner clones repo → Hook injects ANSI codes →
Shows "0 vulnerabilities" → Real vulnerabilities hidden →
Malicious code passes review

Técnicas de Exploração

O framework inclui 8 payloads de ataque pré-construídos:

1. fake_success - Exibir mensagens de sucesso falsas
2. hide_command - Ocultar comandos maliciosos na saída
3. cursor_manipulation - Sobrescrever avisos com sucesso falso
4. social_engineering - Enganar usuários para que executem o script do atacante
5. fake_vulnerability_scan - Ocultar vulnerabilidades reais
6. progress_bar - Criar indicadores de progresso falsos
7. urgent_warning - Criar urgência falsa
8. log_poisoning - Injetar sucesso falso em logs de CI/CD

Por Que Isso é Importante

Muitas imagens de contêineres afirmam "not_affected" para a CVE-2024-52005 com a justificativa:

{
  "justification": "vulnerable_code_cannot_be_controlled_by_adversary"
}

Isso está incorreto para contêineres projetados para clonar repositórios não confiáveis:

• O ArgoCD clona repositórios Git de terceiros
• Ferramentas de CI/CD processam repositórios externos
• Scanners de segurança analisam código não confiável

O atacante controla de fato o caminho de código vulnerável por meio de hooks do Git e mensagens sideband.

Versões Afetadas

Versões do Git afetadas pela CVE-2024-52005:

• Todas as versões anteriores a 2.48.1
• Todas as versões anteriores a 2.47.3
• Todas as versões anteriores a 2.46.5
• Todas as versões anteriores a 2.45.4
• Todas as versões anteriores a 2.44.3

Mitigação

Para Usuários do Git

Atualize para uma versão corrigida:

# Check your version
git --version

# Update via package manager
apt update && apt upgrade git  # Debian/Ubuntu
brew upgrade git               # macOS

Para Mantenedores de Imagens de Contêineres

1. Atualize o Git em suas imagens para versões corrigidas
2. Atualize os documentos VEX para refletir corretamente o status da vulnerabilidade
3. Teste suas imagens usando esta PoC

Soluções Temporárias

Se você não puder atualizar imediatamente:

1. Clone apenas repositórios de fontes confiáveis
2. Revise a saída do Git por meio de registros (logs) sanitizados
3. Execute operações do Git em ambientes isolados (sandbox)

Testando Seu Ambiente

# Test any container image
docker run --rm -v $(pwd)/ansi-test-repo:/repo:ro YOUR_IMAGE:TAG \
  sh -c 'git clone /repo /tmp/test 2>&1' | cat -v

# Look for ANSI codes like ^[[31m in the output

Referências

• CVE-2024-52005 no NVD
• Advisory de Segurança do Git
• Especificação OpenVEX

Divulgação Responsável

Esta PoC foi criada para:

• Pesquisa e educação em segurança
• Demonstrar avaliações incorretas de vulnerabilidades
• Ajudar organizações a avaliar adequadamente seus riscos
• Incentivar documentação VEX precisa

Somente para testes de segurança autorizados. Não use isso contra sistemas que você não possui ou para os quais não tem permissão de teste.

Licença

Licença MIT - Consulte o arquivo LICENSE para obter detalhes

Autor

Criado como parte de pesquisa sobre segurança de imagens de contêineres, demonstrando a importância da divulgação e avaliação precisas de vulnerabilidades.

Contribuindo

Encontrou um problema ou tem melhorias? Pull requests são bem-vindos!

• Relate avaliações VEX incorretas que você encontrar
• Adicione novas técnicas de exploração
• Melhore os métodos de detecção
• Aprimore a documentação