CVE-2025-48384: Esecuzione di hook Git via submodule

Git CVE-2025-48384 è una vulnerabilità nel processo di inizializzazione dei submodule che sfrutta un difetto nel handling dei CRLF (carriage return line feed). Quando Git legge un valore di configurazione, rimuove i CRLF terminali; quando lo scrive, tuttavia, i valori con CR finale non vengono quotati correttamente, causando la perdita del CR alla lettura successiva. Questo comportamento crea una discrepanza: un percorso di submodule contenente CR finale viene alterato durante il checkout.

Con CVSS 8,0, la vulnerabilità è classificata come high. Il rischio concreto si attiva solo in condizioni specifiche: un symlink che punta il percorso alterato alla directory dei hook del submodule, combinato con la presenza di un hook post-checkout eseguibile. Se questi elementi coincidono, lo script hook viene eseguito involontariamente, consentendo l'esecuzione di codice arbitrario. La falla è stata confermata da tempo; patch sono disponibili dai rami di manutenzione di Git dal 2025. Segnali di ricerca attiva sono stati rilevati su GitHub il 3 novembre 2026.

Gli amministratori devono prioritariamente verificare la versione di Git in produzione e nei sistemi di CI/CD, aggiornando a v2.50.1 o alla versione corretta del ramo utilizzato. Controllare la configurazione dei submodule e identificare percorsi con caratteri non stampabili o CR finali. Verificare l'esistenza di symlink anomali nelle directory dei hook. Audire gli hook post-checkout per identificare attività non autorizzata o codice sospetto. Implementare controlli di integrità sui repository critici e limitare l'accesso alla configurazione dei submodule.

Sebbene il CVE risalga al 2025 e le patch siano disponibili da lungo tempo, la persistenza di sistemi non aggiornati rimane un rischio concreto in ambienti con cicli di patch lenti o con deployment complessi. La ricerca attiva suggerisce che questa vulnerabilità continua a ricevere attenzione dalla comunità di sicurezza, rendendo importante una verifica tempestiva dello stato di aggiornamento.