关于GitPython代码执行漏洞（CVE-2024-22190）的预警提示

一、漏洞详情

GitPython是一个用于与 Git存储库交互的Python库。

近日，监测到GitPython中修复了一个代码执行漏洞（CVE-2024-22190）。在Windows上，如果 GitPython使用shell来运行git，以及当它运行bash.exe来解释hooks时，它会使用不受信任的搜索路径并可能执行在不受信任的搜索路径中找到的程序。如果在Windows上使用这些功能中的任何一个，则可能导致从不受信任的存储库中运行恶意git.exe或bash.exe，从而导致任意代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

GitPython < 3.1.4

三、修复建议

目前该漏洞已经修复，受影响用户可升级到GitPython 版本3.1.4。