Lỗ hổng được gán mã định danh CVE-2025-48384 (điểm CVSS: 8.1), sự cố xảy ra khi đọc các giá trị cấu hình, Git sẽ xóa các ký tự trả về đầu dòng (CR) ở cuối và không trích dẫn chúng khi ghi vào. Do đó, việc khởi tạo các mô-đun con với đường dẫn chứa CR theo sau sẽ dẫn đến các đường dẫn bị thay đổi và mô-đun con được kiểm tra đến một vị trí không chính xác.

Theo khuyến cáo của Git, nếu có liên kết tượng trưng (symlink) trỏ đường dẫn đã thay đổi đến thư mục hooks của mô-đun con, đồng thời mô-đun con này chứa một hook có thể thực thi sau khi kiểm tra, thì tập lệnh có thể được thực thi ngoài ý muốn sau khi kiểm tra.

Điều này cho phép kẻ tấn công thao túng các đường dẫn mô-đun con bên trong, khiến Git ghi tệp vào các vị trí không mong muốn và khởi tạo các mô-đun con tại các vị trí này.

Ngay sau khi Git phát hành bản vá cho CVE-2025-48384 vào ngày 8/7, công ty cung cấp giám sát và bảo mật hệ thống cloud Datadog (Mỹ) đã cảnh báo rằng mã bằng chứng khái niệm (PoC) nhắm vào lỗ hổng này đã được phát hành.

“Kẻ tấn công có thể tạo một tệp .gitmodules độc hại với các đường dẫn mô-đun con kết thúc bằng ký tự xuống dòng. Do hành vi phân tích cú pháp cấu hình của Git, ký tự này có thể bị xóa khi đọc nhưng vẫn được giữ nguyên khi ghi, cho phép chuyển hướng nội dung mô-đun con một cách độc hại. Khi kết hợp với các liên kết tượng trưng, từ đó có thể ghi tùy ý trên toàn bộ hệ thống tệp”, Datadog cho biết.

Các nhà nghiên cứu cảnh báo rằng kẻ tấn công có thể khai thác lỗ hổng bằng cách tạo ra các kho lưu trữ độc hại, khi được sao chép, có thể dẫn đến việc thực thi mã từ xa.

Tuy nhiên, lỗ hổng này chỉ ảnh hưởng đến hệ thống macOS và Linux. Sự khác biệt trong cách sử dụng ký tự điều khiển khiến máy tính Windows không bị ảnh hưởng bởi lỗ hổng bảo mật này. Sự cố đã được khắc phục trong Git phiên bản 2.43.7, 2.44.4, 2.45.4, 2.46.4, 2.47.3, 2.48.2, 2.49.1 và 2.50.1.

Cùng ngày, CISA đã thêm CVE-2025-48384 vào danh mục Lỗ hổng bảo mật đã biết (KEV), kêu gọi các cơ quan liên bang vá lỗ hổng này trước ngày 15/9. Đến thời điểm hiện tại, có vẻ như chưa có báo cáo công khai nào mô tả các cuộc tấn công khai thác CVE-2025-48384.