Vulnérabilité dans Git
Date de publication :
CVE-2021-21300[Score CVSS v3 : 7.5] : Dans les versions affectées de Git, un dépôt spécialement conçu qui contient des liens symboliques ainsi que des fichiers utilisant un filtre clean/smudge tel que Git LFS, peut provoquer l'exécution d'un script “just-checked out” lors du clonage sur un système de fichiers insensible à la casse tel que NTFS, HFS+ ou APFS (c'est-à-dire les systèmes de fichiers par défaut sur Windows et macOS). Notez que les filtres clean/smudge doivent être configurés pour cela. Git pour Windows configure Git LFS par défaut, et est donc vulnérable. Cette faille peut être exploitée par un attaquant distant et non-authentifié.
Si le support des liens symboliques est désactivé dans Git (par exemple via `git config --global core.symlinks false`), l'attaque décrite ne fonctionnera pas. De même, si aucun filtre de nettoyage/de brouillage tel que Git LFS n'est configuré globalement (c'est-à-dire avant le clonage), l'attaque est déjouée.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Injection de code arbitraire.
Criticité
- Score CVSS v3 : 7.5
Existence d’un code d’exploitation
- Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.
Composants vulnérables
- Les versions de git antérieures à 2.14.2 sont impactées par cette vulnérabilité.
CVE
Solutions ou recommandations
Mise en place de correctifs de sécurité
Mettre à jour git vers une des versions suivantes :
- 2.30.1, 2.29.3, 2.28.1, 2.27.1, 2.26.3, 2.25.5, 2.24.4, 2.23.4, 2.22.5, 2.21.4, 2.20.5, 2.19.6, 2.18.5, 2.17.62.17.6.
Solution de contournement
- Aucune solution de contournement n’est proposée publiquement à l’heure actuelle.