Er is een kritiek beveiligingslek ontdekt in Gitk, een op Tcl/Tk gebaseerde Git-historiebrowser. Deze kwetsbaarheid, geclassificeerd als CVE-2025-27614, maakt het mogelijk dat een aanvaller met de juiste configuratie van een Git-repository een nietsvermoedende gebruiker kan misleiden om schadelijke scripts binnen diens rechten uit te voeren door middel van simpelweg het commando gitk filename uit te voeren. Impact hiervan is significant voor de integriteit en vertrouwelijkheid van gebruikersbestanden.
Overzicht
Beginnend met versie 2.41.0 van Gitk, kunnen Git-repositories zodanig worden gemanipuleerd dat social engineering kan leiden tot het uitvoeren van scripts door de gebruiker. Het risico is hoog omdat, zodra de repository is gekloond, elke poging om een bepaald bestand in Gitk te openen kan leiden tot het uitvoeren van aanvallende scripts. Dit is gecorrigeerd in versies 2.43.7 en later.
Aanbevelingen
- Bijwerken naar een veilige versie van Gitk: versies 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 of 2.50.0 of hoger. Voorkom gebruik van kwetsbare versies binnen de volgende reeksen:
>= 2.41.0, < 2.43.7 >= 2.44.0, < 2.44.4 >= 2.45.0, < 2.45.4 >= 2.46.0, < 2.46.4 >= 2.47.0, < 2.47.3 >= 2.48.0, < 2.48.2 >= 2.49.0, < 2.49.1 >= 2.50.0, < 2.50.1
Bronnen
- Meer informatie over de kwetsbaarheid en updates: GitHub Security Advisory
- Bijbehorende Git commit: Git commit details
Vraag en Antwoord
Wat is CVE-2025-27614?
Een kritieke kwetsbaarheid waarbij gebruikers gesocial engineered kunnen worden om scripts uit te voeren die lokaal op hun systeem aanwezig zijn.
Welke systemen zijn kwetsbaar voor CVE-2025-27614?
Alle systemen die gebruik maken van Gitk versies 2.41.0 tot en met 2.50.0, zoals hierboven gespecificeerd.
Bestaat er al een patch of beveiligingsupdate?
Ja, updaten naar versies 2.43.7 en hoger wordt ten zeerste aanbevolen.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan scripts uitvoeren op de machine van het slachtoffer, wat kan leiden tot volledige controle over de gebruikersomgeving, inclusief toegang tot gevoelige informatie.
