CVE-2025-48384
Mis à jour :
Impact des caractères de fin de ligne dans Git
Une faille de sécurité, référencée CVE-2025-48384, affecte le système de contrôle de version distribué Git. Elle concerne la manière dont Git traite les caractères de retour chariot (CR) et de saut de ligne (LF) lors de la lecture et de l’écriture des valeurs de configuration.
Points Clés :
- Git supprime les caractères CRLF à la fin des valeurs de configuration lors de leur lecture.
- Lors de l’écriture d’une entrée de configuration, les valeurs se terminant par un CR ne sont pas mises entre guillemets, entraînant la perte de ce caractère à la lecture ultérieure.
Vulnérabilité :
- CVE-2025-48384 : Permet potentiellement l’exécution de code arbitraire. Cette vulnérabilité se manifeste lors de l’initialisation de sous-modules dont le chemin contient un retour chariot final. Le chemin modifié (sans le CR) est utilisé, ce qui peut entraîner le checkout du sous-module à un emplacement erroné. Si un lien symbolique pointe ce chemin altéré vers le répertoire des hooks du sous-module, et que ce dernier contient un script de post-checkout exécutable, le script peut être exécuté involontairement après le checkout.
Recommandations :
- Mettre à jour Git vers les versions corrigeant la vulnérabilité, à savoir : v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, et v2.50.1.