- Aktif istismar
- Yama var
- CWE-59
- CWE-436
CVE-2025-48384
Git'te bozuk yapılandırma tırnaklama hatası uzaktan kod çalıştırmaya yol açabiliyor
- Yayımlandı
- Güncellendi
- 26 Şub 2026
- Açık yaşı
- 476 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Git, olağanüstü zengin komut kümesi sunan hızlı, ölçeklenebilir ve dağıtık bir revizyon kontrol sistemidir. Git, bir yapılandırma değeri okurken sondaki satır başı (CR) ve satır sonu (LF) karakterlerini (CRLF) siler. Bir yapılandırma girdisi yazılırken, sonunda CR bulunan değerler tırnaklanmaz; bu da yapılandırma daha sonra okunduğunda CR karakterinin kaybolmasına neden olur. Bir alt modül başlatılırken, alt modül yolu sonunda CR içeriyorsa, değiştirilmiş yol okunur ve alt modül yanlış bir konuma çıkarılır. Değiştirilmiş yolu alt modülün hooks dizinine yönlendiren bir sembolik bağlantı varsa ve alt modül çalıştırılabilir bir post-checkout kancası içeriyorsa, bu betik checkout işleminden sonra istemeden çalıştırılabilir. Bu güvenlik açığı v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1 ve v2.50.1 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Git is a fast, scalable, distributed revision control system with an unusually rich command set that provides both high-level operations and full access to internals. When reading a config value, Git strips any trailing carriage return and line feed (CRLF). When writing a config entry, values with a trailing CR are not quoted, causing the CR to be lost when the config is later read. When initializing a submodule, if the submodule path contains a trailing CR, the altered path is read resulting in the submodule being checked out to an incorrect location. If a symlink exists that points the altered path to the submodule hooks directory, and the submodule contains an executable post-checkout hook, the script may be unintentionally executed after checkout. This vulnerability is fixed in v2.43.7, v2.44.4, v2.45.4, v2.46.4, v2.47.3, v2.48.2, v2.49.1, and v2.50.1.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Git | < 2.43.7 | 2.43.7 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/git/git/security/advisories/GHSA-vwqx-4fm8-6qc9 Diğer
- access.redhat.com/errata/RHSA-2025:13933 Diğer
- alas.aws.amazon.com/AL2/ALAS2-2025-2941.html Diğer
- linux.oracle.com/errata/ELSA-2025-11534.html Diğer
- msrc.microsoft.com/update-guide/vulnerability/CVE-2025-48384 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.