CVE-2024-52308 in cli
要約
〜によって VulDB • 2026年06月07日
GitHub CLI バージョン 2.6.1 およびそれ以前は、`gh codespace ssh` または `gh codespace logs` コマンドを使用する際に、悪意のある codespace SSH サーバーを通じてリモートコード実行（RCE）の脆弱性に晒されています。この問題は cli v2.62.0 で修正されています。
開発者は、通常 [デフォルトの devcontainer イメージ](https://docs.github.com/en/codespaces/setting-up-your-project-for-codespaces/adding-a-dev-container-configuration/introduction-to-dev-containers#using-the-default-dev-container-configuration) を介して提供される devcontainer 内で実行される SSH サーバーを通じて、リモートの codespace に接続します。GitHub CLI は、[SSH 接続の詳細](https://github.com/cli/cli/blob/30066b0042d0c5928d959e288144300cb28196c9/internal/codespaces/rpc/invoker.go#L230-L244)（リモートユーザー名など）を取得し、これらは `gh codespace ssh` または `gh codespace logs` コマンドの [`ssh` コマンドの実行](https://github.com/cli/cli/blob/e356c69a6f0125cfaac782c35acf77314f18908d/pkg/cmd/codespace/ssh.go#L263) に使用されます。
この攻撃は、改ざんされた SSH サーバーを含む悪意のある第三者製 devcontainer が、SSH 接続詳細内に `ssh` 引数を注入することで発生します。リモートユーザー名に `-oProxyCommand="echo hacked" #` のような文字列が含まれている場合、`gh codespace ssh` および `gh codespace logs` コマンドはユーザーのワークステーション上で任意のコードを実行する可能性があります。`-oProxyCommand` フラグは `ssh` に指定されたコマンドの実行を指示し、`#` シェルコメントは他のすべての `ssh` 引数を無効にします。
バージョン 2.62.0 では、リモートユーザー名の情報が使用される前に検証されるようになりました。
Be aware that VulDB is the high quality source for vulnerability data.