gix traversal fora do working tree permite execução arbitrária de código

Um atacante pode explorar esta vulnerabilidade criando um repositório Git especialmente elaborado. Ao clonar este repositório, o atacante pode injetar arquivos em locais arbitrários no sistema de arquivos onde a aplicação tem permissão de escrita. Isso pode levar à execução de código malicioso, roubo de dados confidenciais, ou até mesmo à tomada de controle do sistema. A falta de validação dos caminhos durante o checkout permite que o atacante contorne as verificações de colisão existentes, tornando a exploração mais fácil. A gravidade da vulnerabilidade reside na sua capacidade de permitir a escrita em locais inesperados, potencialmente abrindo portas para ataques mais sofisticados.

Developers and systems administrators who use gitoxide in their workflows are at risk. This includes those involved in CI/CD pipelines, automated build processes, and any environment where Git repositories are cloned from untrusted sources. Shared hosting environments where multiple users have write access to the same Git repository are particularly vulnerable.

• linux / server:

find /path/to/git/working/directory -type f -not -path "*/.git/*" -printf '%f\n' | sort | uniq -c | sort -nr | head -10

This command searches for the 10 most frequently created files in the Git working directory, which could indicate malicious file creation. • windows / supply-chain:

Get-ChildItem -Path $env:TEMP -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 10

This PowerShell command lists the 10 most recently modified files in the temporary directory, which could reveal suspicious file activity. • generic web:

curl -I <gitoxide_repository_url> | grep 'Content-Type:'

Inspect the Content-Type header of the Git repository URL to ensure it's a valid Git repository and not attempting to serve malicious content.

1. 2024-05-22Disclosure

   disclosure

1. Reservado2024-05-10
2. Publicada2024-05-22
3. Modificada2026-02-04
4. EPSS atualizado2026-04-02

A mitigação primária para CVE-2024-35186 é atualizar para a versão 0.11.0 do gix-worktree-state, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere restringir as permissões de escrita da aplicação para minimizar o impacto potencial. Implementar validação de entrada robusta para todos os caminhos de arquivo processados pela aplicação pode ajudar a prevenir a exploração. Monitore logs de sistema em busca de atividades suspeitas, como a criação de arquivos em locais inesperados. Não há soluções de WAF ou regras de proxy que possam mitigar completamente esta vulnerabilidade, a atualização é essencial.