Vulnerabilidades en GitHub Desktop y Git pueden filtrar credenciales

Se han revelado múltiples vulnerabilidades de seguridad en GitHub Desktop y otros proyectos relacionados con Git, las cuales podrían permitir a atacantes obtener acceso no autorizado a credenciales de Git.

Principales vulnerabilidades descubiertas

El investigador de seguridad Ry0taK, de GMO Flatt Security, identificó fallos en la implementación del Git Credential Protocol, que podrían provocar la fuga de credenciales debido a un manejo inadecuado de mensajes.

Lista de vulnerabilidades críticas:

•   CVE-2025-23040 (CVSS 6.6): URLs maliciosas pueden filtrar credenciales en GitHub Desktop.
•   CVE-2024-50338 (CVSS 7.4): Un carácter de retorno de carro en la URL remota permite la filtración de credenciales en Git Credential Manager.
•   CVE-2024-53263 (CVSS 8.5): Git LFS permite recuperar credenciales a través de URLs HTTP manipuladas.
•   CVE-2024-53858 (CVSS 6.5): GitHub CLI puede filtrar tokens de autenticación a hosts externos en clonaciones recursivas.

¿Cómo se explotan estas vulnerabilidades?

🔹 GitHub Desktop es vulnerable a la inyección de retorno de carro (\r), lo que permite a atacantes interceptar credenciales mediante URLs diseñadas maliciosamente.
🔹 Git Credential Manager sufre de una vulnerabilidad similar en su paquete NuGet, exponiendo credenciales a hosts no relacionados.
🔹 Git LFS no verifica caracteres de control incrustados, lo que posibilita inyecciones CRLF mediante URLs HTTP.
🔹 GitHub CLI filtra tokens de autenticación en GitHub Codespaces si se establecen las variables de entorno GITHUB_ENTERPRISE_TOKEN, GH_ENTERPRISE_TOKEN y GITHUB_TOKEN.
"Clonar un repositorio malicioso en GitHub Codespaces usando GitHub CLI siempre filtrará el token de acceso a los atacantes", advirtió Ry0taK.
Parche de seguridad y mitigaciones

Microsoft y GitHub han lanzado actualizaciones para mitigar estas vulnerabilidades:

📌 CVE-2024-52006 (CVSS 2.1): Relacionado con CVE-2020-5260, aborda la fuga de credenciales causada por caracteres de retorno de carro únicos. Se corrigió en Git v2.48.1.
📌 CVE-2024-50349 (CVSS 2.1): Permite a atacantes crear URLs con secuencias de escape para engañar a los usuarios.

Cómo protegerse

✅ Actualizar a la última versión de Git y GitHub Desktop.
✅ Evitar clonar repositorios con --recurse-submodules si no son de confianza.
✅ No usar Git Credential Manager en repositorios desconocidos.
✅ Revisar variables de entorno en GitHub Codespaces para evitar filtraciones de tokens.

En conclusión, las vulnerabilidades en GitHub Desktop, Git Credential Manager y GitHub CLI representan un riesgo significativo para la seguridad de las credenciales de Git. Se recomienda a los administradores y desarrolladores actualizar sus herramientas y aplicar medidas preventivas para evitar ataques de exfiltración de datos.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta