CVE-2020-27955

RCE w Git Large File Storage (Git LFS) 2.12.0

CVSS 9.8v3.1pub. 2020-11-05upd. 2024-11-21

Git LFS w wersji 2.12.0 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez nieuwierzytelnionego atakującego. Krytyczny wynik CVSS 9.8 oraz brak wymagań dotyczących uprawnień czy interakcji użytkownika czynią tę lukę szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Git LFS 2.12.0 allows Remote Code Execution.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jest jako CWE-427 (Uncontrolled Search Path Element), co oznacza, że Git LFS podczas swojego działania wczytuje biblioteki lub pliki wykonywalne z niekontrolowanej ścieżki wyszukiwania. Atakujący może podrzucić złośliwy plik wykonywalny lub bibliotekę w lokalizacji przeszukiwanej przez aplikację, co prowadzi do jego uruchomienia w kontekście procesu Git LFS. Atak może być przeprowadzony zdalnie, bez uwierzytelniania i bez interakcji ze strony użytkownika.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu na podatnym systemie, co może skutkować pełnym przejęciem kontroli nad maszyną, kradzieżą danych lub eskalacją uprawnień.

Mitygacja

Należy zaktualizować Git LFS do wersji nowszej niż 2.12.0. Szczegółowe informacje o dostępnych łatkach znajdują się w oficjalnym repozytorium wydań producenta: https://github.com/git-lfs/git-lfs/releases

Kogo dotyczy

Git Large File Storage (Git LFS) w wersji 2.12.0

Uwagi

Publiczne exploity dla tej podatności zostały opublikowane w serwisach Packet Storm Security oraz Full Disclosure (listopad 2020), co zwiększa ryzyko wykorzystania mimo braku wpisu w CISA KEV.