CVE-2025-48384
Mis à jour :
Exploitation des caractères de fin de ligne dans Git
Une faille dans la gestion des caractères de retour chariot (CR) et de saut de ligne (LF) par Git peut permettre l’exécution de code arbitraire. Ce problème affecte l’initialisation des sous-modules. Si un chemin de sous-module se termine par un CR, celui-ci est supprimé lors de la lecture de la configuration. Si un lien symbolique existe pointant vers le répertoire des hooks du sous-module, et que ce dernier contient un script de post-checkout exécutable, ce script pourrait être exécuté involontairement après la synchronisation.
Points clés :
- La vulnérabilité concerne la manière dont Git traite les caractères CR et LF dans les valeurs de configuration.
- Un CR en fin de chemin de sous-module est perdu lors de la lecture de la configuration.
- Une configuration spécifique impliquant des liens symboliques et des hooks de sous-module peut mener à une exécution de code.
Vulnérabilité :
- CVE-2025-48384
Recommandations :
- Mettre à jour Git vers les versions corrigées : v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, et v2.50.1.