flawopen.com/Teardowns/CVE-2024-32002

CVE-2024-32002: Git Submodule Symlink RCE

Critical 9.8 CWE-78 / CWE-59 Git < 2.45.1

Languages: en pt-br es fr de ru zh-cn ja hi ko id

ELI5 — A Placa Enganosa no Escritório

Imagine um entregador levando um pacote confidencial para a 'Sala 101'. Um invasor coloca uma placa na porta dizendo: 'A Sala 101 mudou-se para o Cofre da Diretoria'. Em vez de verificar se a placa é legítima, o entregador segue a seta cegamente e deixa o pacote dentro do cofre. No Git, o entregador era o clonador de submódulos, a placa enganosa era um symlink (atalho), e o cofre era o diretório oculto .git/hooks/, onde scripts são executados automaticamente.

Target: Git core CLI

Vector: git clone --recursive <url>

Impact: Remote Code Execution (RCE)

Platform: macOS & Windows (Case-Insensitive Filesystems)

O Diff Fatal no Código-Fonte do Git

Em builtin/submodule--helper.c e dir.c, o Git inicializava a árvore de trabalho do submódulo sem verificar se algum diretório pai no caminho de clone era um symlink apontando para fora da árvore segura.

builtin/submodule--helper.c (Vulnerable)Vulnerable

// Git clone created submodule directory blindly
static int clone_submodule(const struct module_clone_data *clone_data)
{
    struct strbuf sb = STRBUF_INIT;

    // BUG: clone_data->path could traverse an existing symlink
    strbuf_addf(&sb, "%s", clone_data->path);
    safe_create_leading_directories(sb.buf);
    return do_clone(clone_data);
}

builtin/submodule--helper.c (Fixed)Patched

// Fixed: Refuse to clone into or through symlinked path components
static int clone_submodule(const struct module_clone_data *clone_data)
{
    struct strbuf sb = STRBUF_INIT;

    // FIX: Validate that no parent component is a symlink
    if (path_has_symlinks(clone_data->path))
        die(_("fatal: submodule path '%s' contains a symlink"),
            clone_data->path);

    strbuf_addf(&sb, "%s", clone_data->path);
    return do_clone(clone_data);
}

O Fluxo de Exploração em 3 Etapas

11. Criação do Symlink Malicioso: O invasor cria um repositório com um symlink chamado sub que aponta para .git/modules/sub (onde o Git armazena metadados internos).
22. Colisão de Caixa no Windows e macOS: Em sistemas sem distinção de maiúsculas/minúsculas (NTFS e APFS), o Git criava o symlink primeiro. Quando clonava o submódulo para SUB/hooks, o sistema operacional resolvia SUB através do symlink, gravando em .git/modules/sub/hooks/.
33. Execução do Hook Malicioso: O Git gravava o script post-checkout dentro da pasta de hooks. Ao finalizar a clonagem, o Git disparava automaticamente o hook, executando comandos arbitrários no terminal.

Lições de Engenharia para Desenvolvedores

✓Nunca presuma diferenciação de maiúsculas: No macOS e Windows, Pasta/A e pasta/a colidem no disco mesmo que seu código os trate como strings diferentes.
✓Verifique symlinks em cada segmento do caminho: Concatenar caminhos é perigoso a menos que você garanta que nenhum diretório intermediário é um atalho (usando lstat ou O_NOFOLLOW).
✓Isole diretórios de metadados: O Git corrigiu isso impedindo que caminhos de submódulos atravessem symlinks, mantendo o diretório .git/ protegido.

Explore more vulnerability mechanisms & language matrices: Command Injection Matrix →