CVE-2021-21300: RCE via symlink in Git clone

RCE in Git durante clone su filesystem case-insensitive via symlink e clean/smudge filter. CVSS 8,0.

CVE-2021-21300 è una vulnerabilità di esecuzione remota in Git durante clone su filesystem case-insensitive (NTFS, HFS+, APFS). La falla si attiva se il repository contiene symlink combinati con filtri clean/smudge (Git LFS) configurati globalmente: uno script può essere forzato all'esecuzione al checkout, con codice arbitrario nel contesto dell'utente. Git for Windows configura Git LFS di default, rendendo la vulnerabilità immediatamente sfruttabile su Windows.

Il CVSS è 8,0 (high). La patch ufficiale è del 9 marzo 2021 e la vulnerabilità è presente da Git 2.14.2. La ricerca continua: un segnale recente su GitHub (novembre 2026) documenta un modello in-memory della cache lstat per analizzare la meccanica della falla, confermando che la comunità mantiene interesse scientifico e difensivo nel tema. Nessun exploit attivo segnalato, ma la semplicità dell'attacco—un repository costruito ad hoc è sufficiente—ha reso la falla rilevante fin dalla scoperta.

La difesa consiste nell'aggiornare Git alle versioni corrette (2.30.1 o successive nel major branch in uso). Se l'upgrade non è immediato, disabilitare il supporto symlink a livello globale o evitare di configurare filtri clean/smudge prima di clonare blocca l'attacco. Regola d'oro: clonare solo da repository affidabili e, dove possibile, validare l'integrità e la provenienza del codice scaricato. Per i team IT e CISO: verifica che tutti i sistemi di sviluppo Windows/macOS siano su versione patch, soprattutto se usano Git LFS.

In sintesi

Cosa: Il CVE-2021-21300 è una vulnerabilità di esecuzione remota (RCE) in Git che si attiva durante il clone di repository da file system case-insensitive (NTFS, HFS+, APFS). La falla sfrutta la combinazione di symlink e filtri clean/smudge (es. Git LFS) per eseguire script arbitrari durante il checkout, con Git for Windows vulnerabile per default.
Gravità: CVSS 8,0 (high). Impatto significativo per chi clona da repository non attendibili su Windows o macOS: esecuzione di codice arbitrario nel contesto dell'utente Git. Git LFS configurato di default in Git for Windows amplifica l'esposizione.
Versioni interessate: Dalla versione 2.14.2 fino alle versioni antecedenti le patch. Versioni corrette: 2.30.1, 2.29.3, 2.28.1, 2.27.1, 2.26.3, 2.25.5, 2.24.4, 2.23.4, 2.22.5, 2.21.4, 2.20.5, 2.19.6, 2.18.5, 2.17.6.
Correzione: Versioni patch rilasciate il 9 marzo 2021: 2.30.1, 2.29.3, 2.28.1, 2.27.1, 2.26.3, 2.25.5, 2.24.4, 2.23.4, 2.22.5, 2.21.4, 2.20.5, 2.19.6, 2.18.5, 2.17.6. Upgrade immediato consigliato su tutti i sistemi interessati.
Stato: Patch disponibile e consolidata da 5 anni (marzo 2021). Segnale GitHub recente (novembre 2026) documenta modello in-memory della cache lstat per analizzare la meccanica della falla, confermando interesse continuato nella ricerca difensiva. Nessun exploit pubblico segnalato nei dati.
Azione: Aggiornare Git alle versioni corrette. Workaround: disabilitare il supporto symlink a livello globale o evitare di configurare filtri clean/smudge prima di clonare, entrambi bloccano l'attacco. Regola d'oro: clonare solo da repository affidabili e validare l'integrità del codice scaricato. Per team IT e CISO: verificare che tutti i sistemi di sviluppo Windows/macOS siano su versione patch, soprattutto se usano Git LFS.

Fonti: NVD, CVE-2021-21300

← Tutti gli articoli