Git

Die Schwachstelle betrifft das verteilte Versionskontrollsystem Git und entsteht aus einem widersprüchlichen Umgang mit Wagenrücklauf-Zeichen (Carriage Return) in Konfigurationsdateien. Beim Lesen eines Konfigurationswerts entfernt Git abschließende Zeilenumbruchzeichen; beim Schreiben werden Werte mit einem angehängten Wagenrücklauf jedoch nicht maskiert, sodass dieses Zeichen später verlorengeht. Enthält der Pfad eines Submoduls einen abschließenden Wagenrücklauf, wird beim Initialisieren der veränderte Pfad gelesen und das Submodul an einen falschen Ort ausgecheckt. Existiert dort eine symbolische Verknüpfung, die den manipulierten Pfad auf das Hook-Verzeichnis des Submoduls zeigen lässt, und bringt das Submodul einen ausführbaren Post-Checkout-Hook mit, kann dieses Skript nach dem Auschecken ungewollt ausgeführt werden. So lässt sich beim bloßen Klonen oder Aktualisieren eines präparierten Repositorys fremder Code auf dem System des Opfers ausführen.