gix वर्किंग ट्री के बाहर ट्रैवर्सल (traversal) से मनमाना कोड निष्पादन (arbitrary code execution) संभव है

यह भेद्यता एक हमलावर को रिपॉजिटरी के बाहर मनमाने ढंग से फ़ाइलें लिखने की अनुमति देती है, जिससे सिस्टम पर गंभीर प्रभाव पड़ सकता है। हमलावर महत्वपूर्ण सिस्टम फ़ाइलों को ओवरराइट कर सकता है, मैलवेयर स्थापित कर सकता है, या संवेदनशील डेटा चुरा सकता है। चूंकि यह भेद्यता gitoxide के कार्यशील ट्री प्रबंधन में है, इसलिए इसका उपयोग रिपॉजिटरी क्लोनिंग प्रक्रिया को बाधित करने या सिस्टम को समझौता करने के लिए किया जा सकता है। यह भेद्यता विशेष रूप से उन वातावरणों में खतरनाक है जहां अविश्वसनीय रिपॉजिटरी को नियमित रूप से क्लोन किया जाता है।

Developers and systems administrators who use gitoxide in their workflows are at risk. This includes those involved in CI/CD pipelines, automated build processes, and any environment where Git repositories are cloned from untrusted sources. Shared hosting environments where multiple users have write access to the same Git repository are particularly vulnerable.

• linux / server:

find /path/to/git/working/directory -type f -not -path "*/.git/*" -printf '%f\n' | sort | uniq -c | sort -nr | head -10

This command searches for the 10 most frequently created files in the Git working directory, which could indicate malicious file creation. • windows / supply-chain:

Get-ChildItem -Path $env:TEMP -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 10

This PowerShell command lists the 10 most recently modified files in the temporary directory, which could reveal suspicious file activity. • generic web:

curl -I <gitoxide_repository_url> | grep 'Content-Type:'

Inspect the Content-Type header of the Git repository URL to ensure it's a valid Git repository and not attempting to serve malicious content.

1. 2024-05-22Disclosure

   disclosure

1. आरक्षित2024-05-10
2. प्रकाशित2024-05-22
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-04-02

CVE-2024-35186 को कम करने के लिए, gix-worktree-state को संस्करण 0.11.0 में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो अविश्वसनीय स्रोतों से रिपॉजिटरी को क्लोन करने से बचें। रिपॉजिटरी क्लोन करने से पहले, सुनिश्चित करें कि रिपॉजिटरी विश्वसनीय है और इसमें दुर्भावनापूर्ण सामग्री नहीं है। फ़ायरवॉल नियमों को कॉन्फ़िगर करके रिपॉजिटरी तक पहुंच को सीमित करना भी एक निवारक उपाय हो सकता है। अपग्रेड के बाद, यह सत्यापित करें कि क्लोनिंग प्रक्रिया अपेक्षित रूप से काम कर रही है और कोई अनपेक्षित फ़ाइलें नहीं बन रही हैं।