gix traversal hors de l'arborescence de travail permet l'exécution de code arbitraire

Cette vulnérabilité est particulièrement préoccupante car elle permet à un attaquant de créer des fichiers n'importe où sur le système de fichiers accessible à l'application. En exploitant cette faille, un attaquant pourrait potentiellement exécuter du code malveillant, compromettre des données sensibles, ou prendre le contrôle du système. L'attaquant doit fournir un dépôt Git spécialement conçu, mais la création de tels dépôts est relativement simple. L'impact est amplifié si l'application utilise gix-worktree-state avec des privilèges élevés, car l'attaquant pourrait alors créer des fichiers dans des zones critiques du système. Il n'y a pas de similitudes directes avec des vulnérabilités connues comme Log4Shell, mais le principe de l'exploitation d'un dépôt malveillant pour compromettre un système est commun à plusieurs types d'attaques.

Developers and systems administrators who use gitoxide in their workflows are at risk. This includes those involved in CI/CD pipelines, automated build processes, and any environment where Git repositories are cloned from untrusted sources. Shared hosting environments where multiple users have write access to the same Git repository are particularly vulnerable.

• linux / server:

find /path/to/git/working/directory -type f -not -path "*/.git/*" -printf '%f\n' | sort | uniq -c | sort -nr | head -10

This command searches for the 10 most frequently created files in the Git working directory, which could indicate malicious file creation. • windows / supply-chain:

Get-ChildItem -Path $env:TEMP -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 10

This PowerShell command lists the 10 most recently modified files in the temporary directory, which could reveal suspicious file activity. • generic web:

curl -I <gitoxide_repository_url> | grep 'Content-Type:'

Inspect the Content-Type header of the Git repository URL to ensure it's a valid Git repository and not attempting to serve malicious content.

1. 2024-05-22Disclosure

   disclosure

1. Réservé2024-05-10
2. Publiée2024-05-22
3. Modifiée2026-02-04
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour gix-worktree-state vers la version 0.11.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation peuvent être mises en place. Il est crucial de restreindre les privilèges de l'application utilisant gix-worktree-state afin de limiter l'impact potentiel d'une exploitation réussie. Envisagez d'utiliser un WAF (Web Application Firewall) ou un proxy inverse pour inspecter les requêtes Git et bloquer celles qui contiennent des noms de fichiers suspects. Surveillez les journaux d'accès et d'erreurs pour détecter toute activité suspecte, comme la création de fichiers dans des emplacements inattendus. Il n'existe pas de signatures Sigma ou YARA spécifiques connues pour cette vulnérabilité, mais une surveillance attentive des opérations de clonage de dépôt est recommandée.