Git のサブモジュール処理で任意コード実行（clone だけで発火・悪用確認済み）

High（CVSS 8.0）に分類されるGit Gitの脆弱性です。Git の設定値の読み書きに非対称があり、悪意あるリポジトリを clone しただけで任意のスクリプトが実行され得る。Git は config を読むときに末尾の CR/LF を落とすが、書くときに末尾 CR を含む値をクォートしないため、書いて読み直すと CR が失われる。この差を使って、サブモジュールのパスに末尾 CR を仕込むと、サブモジュールが意図しない場所へチェックアウトされる。ずらした先がサブモジュールの hooks ディレクトリを指すシンボリックリンクになっていて、かつサブモジュール側に実行可能な post-checkout フックが含まれていると、チェックアウト後にそのスクリプトが実行される。つまり「信頼できないリポジトリを --recurse-submodules で clone する」という日常操作が着火点になる。修正版は v2.43.7 / v2.44.4 / v2.45.4 / v2.46.4 / v2.47.3 / v2.48.2 / v2.49.1 / v2.50.1。CVSS は CNA の GitHub による 8.0 High（AV:N/AC:H/PR:L/UI:N は無く UI:R、S:C）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2025-08-25 に収載され、是正期限は 2025-09-15。ランサムウェア利用は Unknown（不明）。

対応は Git 本体の更新で完了する。判定は git --version を各所で取ることだが、見落としが出やすいのは開発者の手元ではなく自動化の側である。具体的には CI ランナーのイメージ（GitHub Actions のセルフホストランナー、GitLab Runner、Jenkins エージェント、CodeBuild / Cloud Build / Azure Pipelines のビルドイメージ）、コンテナイメージに同梱した git、Argo CD や Flux のような Git を読むコントローラ、そして開発者端末の順に洗う。修正版は系列ごとに出ているので、2.50 系なら 2.50.1 以上、2.49 系なら 2.49.1 以上のように「使っている系列の修正版以上」で判定する。更新できない箇所への緩和策は、サブモジュールの再帰取得をやめることである。clone / submodule update に --recurse-submodules を付けない運用にし、CI では `git config --global submodule.recurse false` を効かせておくと、この経路では発火しない。加えて、信頼できない third-party リポジトリを CI で直接 clone している箇所を洗い出し、ミラーを経由させる・fork を固定 revision で参照する、といった形で入口を絞るのも効く。これは何をすれば終わりかというと、（1）CI とベースイメージの git が各系列の修正版以上になっていること、（2）開発者端末の git が更新されていること、この2点が確認できた時点で完了である。KEV 収載済みで是正期限 2025-09-15 は経過しているため、未更新のビルドイメージが残っているなら期限超過扱いで優先する。

Git Git を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-48384）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/15 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。