CVE-2024-35186 是 gix-worktree-state 中的一个严重漏洞，允许攻击者在克隆特制的仓库时，将文件写入到应用可写区域的任意位置。该漏洞源于 checkout 过程中对路径位置的验证不足，导致无法有效防止恶意仓库创建文件。受影响的版本包括 0.11.0 之前的版本，建议尽快升级至 0.11.0 以缓解风险。
该漏洞的影响非常严重，攻击者可以利用它在目标系统上创建任意文件，绕过安全机制。攻击者可以通过精心构造的 Git 仓库，将恶意文件放置在目标系统上的任何可写位置，例如系统目录或用户配置文件。这可能导致权限提升、数据泄露、恶意软件安装，甚至完全控制目标系统。由于 gix-worktree-state 被广泛应用于 Git 工具和工作流中，该漏洞的潜在影响范围非常广，可能影响大量用户和组织。该漏洞的利用方式类似于某些文件写入漏洞，但利用 Git 仓库作为载体，增加了攻击的隐蔽性。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现更多利用尝试。该漏洞尚未被添加到 CISA KEV 目录，但其高 CVSS 评分表明其潜在风险较高。建议密切关注安全社区的动态，并及时采取必要的安全措施。
Developers and systems administrators who use gitoxide in their workflows are at risk. This includes those involved in CI/CD pipelines, automated build processes, and any environment where Git repositories are cloned from untrusted sources. Shared hosting environments where multiple users have write access to the same Git repository are particularly vulnerable.
• linux / server:
find /path/to/git/working/directory -type f -not -path "*/.git/*" -printf '%f\n' | sort | uniq -c | sort -nr | head -10This command searches for the 10 most frequently created files in the Git working directory, which could indicate malicious file creation. • windows / supply-chain:
Get-ChildItem -Path $env:TEMP -Recurse -File | Sort-Object LastWriteTime -Descending | Select-Object -First 10This PowerShell command lists the 10 most recently modified files in the temporary directory, which could reveal suspicious file activity. • generic web:
curl -I <gitoxide_repository_url> | grep 'Content-Type:'Inspect the Content-Type header of the Git repository URL to ensure it's a valid Git repository and not attempting to serve malicious content.
disclosure
漏洞利用状态
EPSS
0.43% (63% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即升级到 gix-worktree-state 0.11.0 或更高版本，该版本修复了该漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制用户克隆来自不受信任来源的仓库，并对仓库内容进行严格的安全审查。此外，可以配置防火墙或安全策略，阻止来自可疑来源的 Git 克隆请求。虽然没有直接的 WAF 规则或 Sigma/YARA 模式可以检测此漏洞，但可以监控 Git 仓库的克隆活动，并对异常行为进行警报。升级后，请验证仓库克隆功能是否正常，确认漏洞已成功修复。
Actualice la biblioteca gitoxide a la versión 0.36.0 o superior. Esto corregirá la vulnerabilidad de recorrido de directorio que permite la ejecución de código arbitrario. Asegúrese de actualizar todas las dependencias que utilicen gitoxide para evitar la propagación de la vulnerabilidad.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-35186 是 gix-worktree-state 中的一个漏洞，允许攻击者在克隆特制仓库时创建任意文件，可能导致权限提升和数据泄露。
如果您正在使用 gix-worktree-state 的 0.11.0 之前的版本，则可能受到影响。请立即检查您的版本并升级。
建议升级到 gix-worktree-state 0.11.0 或更高版本。如果无法升级，请采取临时缓解措施，例如限制克隆不受信任的仓库。
目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易利用性，预计未来可能会出现更多利用尝试。
请查阅 gix-worktree-state 的官方安全公告或 GitHub 仓库，以获取有关此漏洞的更多信息。
上传你的 Cargo.lock 文件，立即知道是否受影响。