CVE-2024-52308 in cli
Résumé
par VulDB • 02/06/2026
La version 2.6.1 et les versions antérieures de GitHub CLI sont vulnérables à une exécution de code à distance (RCE) via un serveur SSH Codespace malveillant lors de l'utilisation des commandes `gh codespace ssh` ou `gh codespace logs`. Cela a été corrigé dans la version cli v2.62.0.
Les développeurs se connectent aux codespaces distants via un serveur SSH s'exécutant au sein du devcontainer, qui est généralement fourni via [l'image devcontainer par défaut]( https://docs.github.com/en/codespaces/setting-up-your-project-for-codespaces/adding-a-dev-container-... https://docs.github.com/en/codespaces/setting-up-your-project-for-codespaces/adding-a-dev-container-configuration/introduction-to-dev-containers#using-the-default-dev-container-configuration) . GitHub CLI [récupère les détails de connexion SSH]( https://github.com/cli/cli/blob/30066b0042d0c5928d959e288144300cb28196c9/internal/codespaces/rpc/inv... https://github.com/cli/cli/blob/30066b0042d0c5928d959e288144300cb28196c9/internal/codespaces/rpc/invoker.go#L230-L244 ), tels que le nom d'utilisateur distant, qui est utilisé pour [exécuter des commandes `ssh`]( https://github.com/cli/cli/blob/e356c69a6f0125cfaac782c35acf77314f18908d/pkg/cmd/codespace/ssh.go#L2... https://github.com/cli/cli/blob/e356c69a6f0125cfaac782c35acf77314f18908d/pkg/cmd/codespace/ssh.go#L263 ) pour les commandes `gh codespace ssh` ou `gh codespace logs`.
Cette exploitation se produit lorsqu'un devcontainer tiers malveillant contient un serveur SSH modifié qui injecte des arguments `ssh` dans les détails de connexion SSH. Les commandes `gh codespace ssh` et `gh codespace logs` pourraient exécuter du code arbitraire sur la station de travail de l'utilisateur si le nom d'utilisateur distant contient quelque chose comme `-oProxyCommand="echo hacked" #`. Le drapeau `-oProxyCommand` provoque l'exécution de la commande fournie par `ssh`, tandis que le commentaire de shell `#` fait en sorte que tout autre argument `ssh` soit ignoré.
Dans la version `2.62.0`, les informations du nom d'utilisateur distant sont validées avant d'être utilisées.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.