La última versión de Git, la 2.45.1, fue lanzada el 14 de mayo de 2024 y aborda cinco vulnerabilidades que afectan a múltiples plataformas, incluyendo Windows, macOS, Linux e incluso *BSD. Esta actualización es importante para todos los usuarios debido a la gravedad de las brechas encontradas.
Coordinación con herramientas populares
Esta versión se lanzó en coordinación con Visual Studio y GitHub Desktop, que incluyen un subconjunto de Git. Además, se han realizado varias actualizaciones de defensa en profundidad para corregir los siguientes errores.
Vulnerabilidades abordadas
- CVE-2024-32002 (Critico, Windows & macOS): Los repositorios de Git con submódulos pueden engañar a Git para ejecutar un hook desde el directorio .git/ durante una operación de clonación (git clone), lo que puede llevar a la Ejecución de Código Remoto (RCE). Existe un exploit público y funcional para esta vulnerabilidad que permite ejecutar código en el cliente.
- CVE-2024-32004 (Alto): Un atacante puede crear un repositorio local que ejecute código arbitrario cuando se clona.
- CVE-2024-32465 (Alto): La clonación de los archivos .ZIP que contienen repositorios Git pueden evitar las protecciones, potencialmente ejecutando hooks inseguros.
- CVE-2024-32020 (Bajo): Los clones locales en el mismo disco pueden permitir a los usuarios no confiables modificar archivos vinculados en la base de datos de objetos del repositorio clonado.
- CVE-2024-32021 (Bajo): La clonación de un repositorio local con enlaces simbólicos puede dar lugar a los archivos arbitrarios en el directorio «objects/».
La actualización a la última versión de Git es esencial para proteger contra estas vulnerabilidades. Si no se puede actualizar de inmediato, se debe tener cuidado con el lugar desde donde se clonen los repositorios.