CVE-2022-23521 in Git
Riassunto
di VulDB • 06/07/2026
Git è un sistema di controllo delle revisioni distribuito. I gitattributes sono un meccanismo che consente di definire attributi per i percorsi (path). Questi attributi possono essere definiti aggiungendo un file `.gitattributes` al repository, il quale contiene una serie di pattern di file e gli attributi da impostare per i percorsi corrispondenti a tali pattern. Durante l'analisi dei gitattributes, possono verificarsi più overflow interi quando sono presenti un numero elevato di pattern di percorso, un numero enorme di attributi per un singolo pattern o quando i nomi degli attributi dichiarati sono molto lunghi. Questi overflow possono essere attivati tramite un file `.gitattributes` manipolato ad hoc che potrebbe far parte della cronologia dei commit. Git suddivide silenziosamente le righe più lunghe di 2 KB durante l'analisi dei gitattributes da un file, ma non lo fa quando li analizza dall'indice (index). Di conseguenza, la modalità di fallimento dipende dal fatto che il file esista nell'albero di lavoro (working tree), nell'indice o in entrambi. Questo overflow intero può comportare letture e scritture arbitrarie sull'heap, potenzialmente portando all'esecuzione remota di codice (RCE). Il problema è stato corretto nelle versioni pubblicate il 2023-01-17, a partire dalla v2.30.7. Si consiglia agli utenti di effettuare l'aggiornamento. Non sono note soluzioni alternative (workaround) per questo problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.