CVE-2024-52005

总结

Git 是一种源代码管理工具。当从服务器克隆（或获取、推送）时，信息或错误消息会通过所谓的“sideband channel”（边带信道）从远程 Git 进程传输到客户端。这些消息会带有“remote:”前缀，并直接打印到标准错误输出。通常，标准错误输出连接到理解 ANSI 转义序列的终端，而 Git 并未对此加以保护。大多数现代终端支持控制序列，恶意行为者可以利用这些序列来隐藏和歪曲信息，或诱使用户执行不受信任的脚本。按照 git-security 邮件列表的要求，补丁正在公开邮件列表中讨论。建议用户尽快更新。无法升级的用户应避免进行递归克隆，除非来源可信。

• cve-2024-52005-pocPoC

  CVE-2024-52005 的概念验证：Git 中的 ANSI 转义序列注入。演示了加固容器镜像中错误的 'not_affected' VEX 声明。