【缝隙公告】Git子�？轷杈痘爻捣贾略冻檀胫葱蟹煜� (CVE-2025-48384)

颁布功夫 2025-07-09

一、缝隙概述


缝霞称

Git子�？轷杈痘爻捣贾略冻檀胫葱蟹煜�

CVE   ID

CVE-2025-48384

缝隙类型

号令执行

发现功夫

2025-07-09

缝隙评分

8.0

缝隙等级

高危

攻击向量

网络

所需权限

低

利用难度

高

用户交互

必要

PoC/EXP

已公开

在野利用

未发现


Git是一个散布式版本节造系统，用于跟踪文件变动并合作开发软件。由Linus Torvalds于2005年创建，Git允很多个开发者并行工作，治理源代码汗青纪录。它支持本地操作，用户无需衔接到中央服务器即可进行版本节造。Git的主题特点蕴含高效的分支治理、归并职能、以及支持大规模项主张能力。通过号令行和图形界面工具（如GitHub Desktop）能够与Git仓库进行交互，宽泛利用于开源和私有软件项目中。


2025年7月8日，GA黄金甲集团VSRC监测到Git中的一个远程代码执行缝隙，影响类Unix平台。该缝隙源于Git配置文件对回车符（CR）的处置不当。在使用git clone --recursive号令时，Git会从.gitmodules文件读取子�？轷杈恫⒓斐鱿嘤Φ淖幽？�。然而，若子�？轷杈对毯膊炕爻捣╚M），Git会谬误地处置该蹊径，导致回车符迷失并将蹊径写入.git/modules/foo/config中，进而使子�？楸患斐龅矫篚杈�。若存在符号链接指向谬误蹊径，并且子�？樵毯芍葱械膒ost-checkout钩子剧本，该剧本可能在检出时意表执行，从而导致远程代码执行（RCE）。此缝隙可被利用通过恶意批改.gitmodules文件或注入回车符来节造子�？榧斐龉�。


二、影响领域


Git <= 2.50.0


三、安全措施


3.1 升级版本


官方已颁布建复版本，建议用户升级至如下版本
Git >= 2.43.7
Git >= 2.44.4
Git >= 2.45.4
Git >= 2.46.4
Git >= 2.47.3
Git >= 2.48.2
Git >= 2.49.1
Git >= 2.50.1


下载链接：https://github.com/git/git/tags


3.2 一时措施


暂无。


3.3 通用建议


?定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
?加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
?使用企业级安全产品，提升企业的网络安全机能。
?加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。

?启用强密码战术并设置为定期批改。


3.4 参考链接


https://github.com/git/git/security/advisories/GHSA-vwqx-4fm8-6qc9
https://nvd.nist.gov/vuln/detail/CVE-2025-48384