gixワーキングツリー外へのトラバーサルにより、任意のコード実行が可能になる

この脆弱性を悪用すると、攻撃者はgitoxideを利用するアプリケーションをクローンする際に、リポジトリ外、またはリポジトリ内に任意のファイルを書き込むことができます。これにより、システムへの不正アクセス、機密情報の窃取、さらにはシステム全体の制御奪取といった深刻な被害が発生する可能性があります。特に、自動化されたビルドプロセスやCI/CDパイプラインでgitoxideを使用している環境では、攻撃者が悪意のあるコードをリポジトリに挿入し、ビルド時に実行させることで、サプライチェーン攻撃を引き起こすリスクがあります。この脆弱性は、類似のファイルパス操作の脆弱性と同様に、広範囲な影響を及ぼす可能性があります。

Developers and systems administrators who use gitoxide in their workflows are at risk. This includes those involved in CI/CD pipelines, automated build processes, and any environment where Git repositories are cloned from untrusted sources. Shared hosting environments where multiple users have write access to the same Git repository are particularly vulnerable.

• linux / server:

find /path/to/git/working/directory -type f -not -path "*/.git/*" -printf '%f\n' | sort | uniq -c | sort -nr | head -10

This command searches for the 10 most frequently created files in the Git working directory, which could indicate malicious file creation. • windows / supply-chain:

Get-ChildItem -Path $env:TEMP -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 10

This PowerShell command lists the 10 most recently modified files in the temporary directory, which could reveal suspicious file activity. • generic web:

curl -I <gitoxide_repository_url> | grep 'Content-Type:'

Inspect the Content-Type header of the Git repository URL to ensure it's a valid Git repository and not attempting to serve malicious content.

1. 2024-05-22Disclosure

   disclosure

1. 予約済み2024-05-10
2. 公開日2024-05-22
3. 更新日2026-02-04
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、gitoxideをバージョン0.11.0以降にアップデートすることです。アップデートがすぐに利用できない場合、信頼できないリポジトリのクローンを一時的に停止するか、クローン前にリポジトリの内容を厳密に検証するスクリプトを導入することを検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、gitoxideのプロセスへの不正なファイル書き込みを検知およびブロックすることも有効です。ファイルシステムのアクセス制御を強化し、gitoxideが書き込み可能なディレクトリを最小限に抑えることも重要です。アップデート後、gitoxide --versionコマンドを実行して、バージョンが0.11.0以降であることを確認してください。