⚠️ Cảnh Báo Bảo Mật Nghiêm Trọng: Lỗ Hổng CVE-2025-48384 trong Git CLI Cho Phép Thực Thi Mã Từ Xa
Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong Git – công cụ quản lý mã nguồn phổ biến nhất hiện nay, ảnh hưởng đến hàng triệu lập trình viên và hệ thống doanh nghiệp toàn cầu. Lỗ hổng mang mã CVE-2025-48384, với điểm CVSS lên đến 8.1, cho phép thực thi mã từ xa (RCE) và ghi tệp tùy ý trên các hệ thống Linux và macOS chỉ thông qua một lệnh git clone.
🛑 Nguy hiểm từ git clone --recursive và tệp .gitmodules
Lỗ hổng khai thác thông qua tính năng submodule trong Git. Kẻ tấn công có thể tạo ra một kho chứa độc hại có chứa cấu hình .gitmodules được thiết kế đặc biệt, khiến lệnh git clone --recursive trở thành cửa ngõ để chèn mã độc vào hệ thống của nạn nhân.
🔎 Các Phiên Bản Git Bị Ảnh Hưởng
Lỗ hổng ảnh hưởng đến các phiên bản Git từ v2.50.0 trở về trước đến v2.43.6.
✅ Các Bản Vá Đã Được Phát Hành (ngày 8/7/2025)
Người dùng cần cập nhật Git lên một trong các phiên bản sau để vá lỗ hổng:
v2.43.7
v2.44.4
v2.45.4
v2.46.4
v2.47.3
v2.48.2
v2.49.1
v2.50.1
🔐 Hướng Dẫn Bảo Vệ An Toàn Môi Trường Làm Việc
Đối với người dùng GitHub Desktop trên macOS:
Tạm ngừng sử dụng clone đệ quy qua GitHub Desktop
Chuyển sang Git CLI đã được vá
Chờ bản cập nhật chính thức từ GitHub Desktop
Trong môi trường doanh nghiệp:
Áp dụng giám sát tùy chỉnh trên hệ thống IDS (Intrusion Detection System)
Theo dõi tiến trình shell có tổ tiên là Git, đặc biệt khi chứa clone --recursive
—
📌 Bài học rút ra
Vụ việc CVE-2025-48384 là lời nhắc cảnh tỉnh rằng những lỗ hổng nguy hiểm nhất đôi khi không nằm ở mã nguồn phức tạp, mà đến từ hành động quen thuộc như chạy một dòng lệnh clone. Trong bối cảnh tấn công chuỗi cung ứng phần mềm ngày càng phổ biến, mỗi nhà phát triển và tổ chức cần:
Cập nhật thường xuyên các công cụ phát triển
Kiểm tra kỹ kho chứa nguồn trước khi clone
Tăng cường giám sát an ninh hệ thống
—
🔄 Kết luận
Đừng để sự chủ quan làm lộ cánh cửa vào hệ thống của bạn. Hãy cập nhật Git ngay hôm nay và ngừng sử dụng git clone --recursive với các kho không rõ nguồn gốc để bảo vệ bản thân khỏi nguy cơ bị tấn công mã độc.
