Git, una de las herramientas de control de versiones más utilizadas en el mundo del desarrollo de software, ha lanzado su última versión, Git 2.45.1, el 14 de mayo de 2024. Esta actualización aborda cinco vulnerabilidades críticas que afectan a múltiples plataformas, incluyendo Windows, MacOS, Linux y *BSD. Es esencial que todos los usuarios actualicen a esta nueva versión para asegurar sus entornos de desarrollo.
Coordinación con Visual Studio y GitHub Desktop
La versión 2.45.1 de Git ha sido coordinada con herramientas populares como Visual Studio y GitHub Desktop, que incluyen subconjuntos de Git. Estas herramientas también están lanzando varias actualizaciones de defensa en profundidad para corregir los errores descubiertos.
Vulnerabilidades Críticas y Soluciones
A continuación se detallan las vulnerabilidades abordadas en esta actualización:
- CVE-2024-32002 (Crítico, Windows & MacOS)
- Descripción: Los repositorios de Git con submódulos pueden engañar a Git para ejecutar un hook desde el directorio
.git/durante una operación de clonación (git clone), lo que lleva a la Ejecución de Código Remoto (RCE). - Impacto: Existe un exploit público y funcional que permite la ejecución de código en el cliente afectado.
- Plataformas Afectadas: Windows y MacOS.
- Descripción: Los repositorios de Git con submódulos pueden engañar a Git para ejecutar un hook desde el directorio
- CVE-2024-32004 (Alto)
- Descripción: Un atacante puede crear un repositorio local que ejecute código arbitrario cuando se clona.
- Impacto: Permite la ejecución de código arbitrario al clonar un repositorio malicioso.
- CVE-2024-32465 (Alto)
- Descripción: La clonación de archivos .ZIP que contienen repositorios Git pueden evitar las protecciones, potencialmente ejecutando hooks inseguros.
- Impacto: Permite la ejecución de hooks inseguros que pueden comprometer la seguridad del sistema.
- CVE-2024-32020 (Bajo)
- Descripción: Los clones locales en el mismo disco pueden permitir a los usuarios no confiables modificar archivos vinculados en la base de datos de objetos del repositorio clonado.
- Impacto: Riesgo de modificación no autorizada de archivos vinculados en la base de datos de objetos.
- CVE-2024-32021 (Bajo)
- Descripción: La clonación de un repositorio local con enlaces simbólicos puede dar lugar a la creación de archivos arbitrarios en el directorio «objects/».
- Impacto: Permite la creación de archivos arbitrarios que pueden ser utilizados para ataques adicionales.
Recomendaciones
La actualización a Git 2.45.1 es crucial para protegerse contra estas vulnerabilidades. Si no es posible actualizar de inmediato, se recomienda tener mucho cuidado con los repositorios que se clonan y verificar la autenticidad y seguridad de las fuentes.
Conclusión
Git 2.45.1 introduce importantes mejoras de seguridad que son esenciales para todos los desarrolladores que utilizan esta herramienta. La actualización no solo protege contra vulnerabilidades críticas, sino que también asegura un entorno de desarrollo más seguro y robusto. Es altamente recomendable proceder con la actualización lo antes posible para mitigar cualquier riesgo potencial.
