چندین آسیب‌پذیری امنیتی در GitHub Desktop و سایر پروژه‌های مرتبط با Git کشف شده که در صورت بهره‌برداری موفقیت‌آمیز، می‌تواند به مهاجمان اجازه دسترسی غیرمجاز به اعتبارنامه‌های Git کاربران را بدهد. محقق GMO Flatt Security به نام Ry0taK که این نقص‌ها را کشف کرده، اعلام کرد که به دلیل مدیریت نامناسب پیام‌ها در پروتکل Git Credential Protocol، بسیاری از پروژه‌ها در معرض نشت اعتبارنامه قرار داشتند. فهرست آسیب‌پذیری‌های شناسایی شده تحت عنوان Clone2Leak شامل CVE-2025-23040 (امتیاز CVSS: 6.6) در GitHub Desktop، CVE-2024-50338 (امتیاز 7.4) در Git Credential Manager، CVE-2024-53263 (امتیاز 8.5) در Git LFS و CVE-2024-53858 (امتیاز 6.5) در GitHub CLI می‌باشد.
این آسیب‌پذیری‌ها عمدتاً از طریق تزریق کاراکتر carriage return (“\r”) در URLهای مخرب عمل می‌کنند که باعث ارسال اشتباهی اعتبارنامه‌ها به میزبان‌های کنترل شده توسط مهاجم می‌شود. پروژه Git این مشکل را به عنوان آسیب‌پذیری مستقل CVE-2024-52006 (امتیاز CVSS: 2.1) در نظر گرفته و در نسخه v2.48.1 رفع کرده است. کاربران توصیه می‌شوند به آخرین نسخه‌ها به‌روزرسانی کنند و در صورت عدم امکان وصله‌گذاری فوری، از اجرای git clone با –recurse-submodules روی مخازن غیرقابل اعتماد خودداری کنند.
کلمات کلیدی : آسیب‌پذیری امنیتی, GitHub Desktop, Git Credential Protocol, Clone2Leak, CVE vulnerabilities, اعتبارنامه Git
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.