GMO Flatt Security、GitおよびGitHub関連サービスの認証情報漏洩につながる6つの脆弱性を報告

 2025年1月27日、GMO Flatt Security株式会社のセキュリティリサーチャーであるRyotaK氏は、GitおよびGitHub関連サービスにおいて、認証情報の漏洩につながる6つの脆弱性を報告しました。

GMO Flatt SecurityのRyotaKがGitの認証情報漏洩につながる6個の脆弱性をGitおよびGitHub関連サービスに報告

これらの脆弱性は、悪意のある攻撃者によって悪用された場合、ソースコードの流出や不正なコードの挿入など、重大なセキュリティリスクを引き起こす可能性があります。

報告された脆弱性の詳細

1. CVE-2024-52006：Gitにおける、クレデンシャルヘルパーに対してキャリッジリターンを送信してしまう問題。

2. CVE-2025-23040：GitHub Desktopにおいてキャリッジリターンの取り扱いが不適切であり、CVE-2024-52006と組み合わせることで認証情報が漏洩する問題。

3. CVE-2024-50338：Git Credential Managerにおいてキャリッジリターンの取り扱いが不適切であり、CVE-2024-52006と組み合わせることで認証情報が漏洩する問題。

4. CVE-2024-53263：Git LFSにおいて、クレデンシャルヘルパーに対して改行文字を送信してしまい、認証情報が漏洩する問題。

5. CVE-2024-53858：GitHub CLIをGitHub Codespaces上で実行した際、任意のホストに対してGitHub.com用のアクセストークンを送信してしまう問題。

6. GitHub Codespacesの脆弱性：GitHub Codespaces上に実装されているクレデンシャルヘルパーにおいて、ホスト名検証が行われておらず、認証情報が外部のホストに送信されてしまう問題。

影響とリスク

これらの脆弱性が悪用されると、以下のリスクが考えられます：

• ソースコードの流出：機密性の高いソースコードが外部に漏洩し、知的財産の損失や競争力の低下を招く可能性があります。

• 不正なコードの挿入：攻撃者が不正なコードをリポジトリに挿入し、エンドユーザーに被害を及ぼす可能性があります。

推奨される対策

該当するプログラムやサービスを利用している開発者や組織は、以下の対策を迅速に実施することが推奨されます：

1. アップデートの適用：各プログラムやサービスの最新バージョンにアップデートし、脆弱性を修正してください。

2. 認証情報の確認：不正アクセスの痕跡がないか、認証情報の使用履歴を確認してください。

3. セキュリティ教育の強化：開発チームに対して、セキュリティ意識の向上と脆弱性に関する最新情報の共有を行ってください。

まとめ

今回報告された脆弱性は、世界中の開発者が利用するGitおよびGitHub関連サービスに影響を及ぼす重大なものです。開発者や組織は、迅速な対応と継続的なセキュリティ対策の強化を行い、安全な開発環境の維持に努めることが重要です。