מי שמוריד מאגר Git ופותח אותו באפליקציית DeepSeek-Reasonix, שנקראת גם Reasonix Studio, עלול להריץ בלי לדעת פקודות שהמאגר עצמו הגדיר. הציון שנקבע לחולשה הוא 7.8 מתוך 10, והיא דורשת שני תנאים: שהתוקף שולט בתוכן המאגר, ושאתם פותחים בו את מסך השינויים.

מה החולשה?

ל-Git יש מנגנון שמאפשר למאגר להגדיר בעצמו פקודה שתורץ על תוכן הקבצים בדרך פנימה ובחוץ, למשל כדי לנקות או להמיר פורמט. ההגדרה הזאת יושבת בשני מקומות: בקובץ בשם gitattributes שנמצא בתוך תוכן המאגר, ובקובץ ההגדרות config של העתק המקומי. התוצאה היא שמאגר שמישהו אחר הכין יכול להגיע עם הוראה לאיזו תוכנה להריץ.

כאן נכנסת האפליקציה. לפי רשומת NVD הרכיב הפנימי שמפעיל את Git בתוך DeepSeek-Reasonix קורא לפקודת ההשוואה של Git כדי להציג את מסך השינויים בסביבת העבודה, ובדרך הזאת מופעלים גם אותם מסננים שהמאגר הגדיר. הפקודה שהוגדרה במאגר רצה על המחשב שלכם, בהרשאות שלכם. לסוג הכשל הזה קוראים הזרקת פקודות למערכת ההפעלה, והסיווג הוא CWE-78.

כדאי לשים לב לרגע שבו זה קורה. לא בהרצה של הקוד מהמאגר ולא בבנייה שלו, אלא בפעולה שנראית כמו צפייה בלבד: פתיחת מסך שמראה מה השתנה.

מי מושפע?

רשומת NVD אינה מפרטת אילו גרסאות של האפליקציה חשופות, ולכן את מצב הגרסאות צריך לקרוא בהודעת האבטחה של הפרויקט עצמו.

מדובר באפליקציית שולחן עבודה למפתחים, לא בתוכנה שנמצאת על מחשבים של גולשים רגילים, ובישראל היא אינה כלי נפוץ. מי שהחולשה הזאת נוגעת לו הוא מפתח או חוקר שמוריד מאגרי קוד מהאינטרנט ופותח אותם בכלי הזה כדי להציץ בהם, וזאת בדיוק ההתנהגות שהחולשה מנצלת.

האם מנוצלת בפועל?

אין ידיעה על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת את החולשות שידוע שתוקפים מנצלים אותן בשטח. הניצול גם דורש שתפתחו מאגר שהתוקף הכין, כלומר שלב של שיתוף פעולה מהצד שלכם.

מה עושים?

ראשית, עדכנו את האפליקציה. את פרטי החולשה ואת מצב התיקון פרסם הפרויקט בהודעת האבטחה שלו, וזאת הכתובת לבדוק בה לאיזו גרסה לעבור.

שנית, ובלי קשר לגרסה: התייחסו למאגר קוד שהורדתם כמו לקובץ מצורף שהגיע בדואר מגורם לא מוכר. מאגר Git אינו רק טקסט, הוא יכול לכלול הגדרות שמפעילות תוכנה.

ואם אתם כן צריכים להסתכל על מאגר שאינכם סומכים עליו, בדקו אותו לפני שאתם פותחים אותו בכלי גרפי. פתחו את הקובץ gitattributes שבתוך המאגר ואת קובץ ה-config שבתיקיית העתק המקומי, וחפשו בהם הגדרות של מסננים שמצביעות על פקודה להרצה. מאגר תמים אינו צריך דבר כזה, והימצאות הגדרה כזאת היא סיבה לא לפתוח אותו, או לפתוח אותו במכונה נפרדת שאין בה מה לאבד.