CVE-2025-25204
Açıklama
`gh`, GitHub'ın resmi komut satırı aracıdır. Versiyon 2.49.0 ile başlayıp versiyon 2.67.0 öncesine kadar olan sürümlerde, belirli koşullar altında, GitHub'ın Artifact Attestation CLI aracı `gh attestation verify` içindeki bir hata, hiçbir tasdikleme (attestation) bulunmadığında sıfır çıkış durumu döndürmesine neden olur. Bu davranış yanlıştır: Hiçbir tasdikleme bulunmadığında, `gh attestation verify` doğrulamadaki başarısızlığı işaret etmek için sıfırdan farklı bir çıkış durum kodu döndürmelidir. Bir saldırgan bu açığı, örneğin dağıtımları denetlemek için `gh attestation verify` aracının çıkış kodlarını kullanan herhangi bir sistemde kötü amaçlı artefaktlar dağıtmak için suistimal edebilir. Kullanıcıların `gh` aracını mümkün olan en kısa sürede yamalanmış sürüm `v2.67.0`a güncellemeleri önerilir.
Nasıl düzeltilir
- github.com/cli/cli/v22.67.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/cli/cli/v2Go | 2.49.0 ≤ v < 2.67.0 | 2.67.0 |
| github.com/cli/cliGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.