Vulnerabilidad en gitoxide (CVE-2024-32884)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
26/04/2024
Última modificación:
26/04/2024
Descripción
gitoxide es una implementación Rust pura de Git. `gix-transport` no verifica la parte del nombre de usuario de una URL en busca de texto que el programa externo `ssh` interpretaría como una opción. Una URL clonada especialmente manipulada puede pasar de contrabando opciones a SSH. Las posibilidades son sintácticamente limitadas, pero si una aplicación cuyo directorio de trabajo actual contiene un archivo malicioso utiliza una URL de clonación maliciosa, se produce la ejecución de código arbitrario. Esto está relacionado con la vulnerabilidad parcheada GHSA-rrjw-j4m2-mf34, pero parece menos grave debido a una mayor complejidad del ataque. Este problema se solucionó en las versiones 0.35.0, 0.42.0 y 0.62.0.
Impacto
Puntuación base 3.x
6.40
Gravedad 3.x
MEDIA