CVE-2024-52005
Publiée le 2025-01-15 · Dernière modification le 2026-06-17
Les clients Git sont affectés lors d'interactions avec un dépôt distant malveillant. Un attaquant peut utiliser des séquences d'échappement ANSI spécialement conçues dans les messages du serveur pour manipuler l'affichage de votre terminal, ce qui pourrait masquer des informations critiques ou vous inciter à exécuter des scripts non approuvés. Cela ne nécessite aucune authentification ni privilège particulier, mais repose sur le fait que vous initiiez une action réseau, comme le clonage ou la récupération de données depuis une source malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Git is a source code management tool. When cloning from a server (or fetching, or pushing), informational or error messages are transported from the remote Git process to the client via the so-called "sideband channel". These messages will be prefixed with "remote:" and printed directly to the standard error output. Typically, this standard error output is connected to a terminal that understands ANSI escape sequences, which Git did not protect against. Most modern terminals support control sequences that can be used by a malicious actor to hide and misrepresent information, or to mislead the user into executing untrusted scripts. As requested on the git-security mailing list, the patches are under discussion on the public mailing list. Users are advised to update as soon as possible. Users unable to upgrade should avoid recursive clones unless they are from trusted sources.