تم نشر الإصدارات التصحيحية لنظام التحكم بالمصادر الموزعة Git 2.38.4 و 2.37.6 و 2.36.5 و 2.35.7 و 2.34.7 و 2.33.7 و 2.32.6 و 2.31.7 و 2.30.8 ، حيث تم نشر اثنين يتم التخلص من نقاط الضعف ، مما يؤثر على تحسينات الاستنساخ المحلية والأمر "git application". يمكنك متابعة إصدار تحديثات الحزمة في التوزيعات على صفحات Debian و Ubuntu و RHEL و SUSE / openSUSE و Fedora و Arch و FreeBSD. إذا لم يكن من الممكن تثبيت تحديث ، كحل بديل ، يوصى بتجنب تشغيل "git clone" مع خيار "--recurse-submodules" في المستودعات غير الموثوق بها ، وعدم استخدام "git application" و "git am "مع رمز غير موثوق به.
- تسمح الثغرة الأمنية CVE-2023-22490 للمهاجم الذي يتحكم في محتويات مستودع مستنسخ بالوصول إلى البيانات السرية على نظام المستخدم. هناك عيبان يساهمان في ظهور الضعف:
يسمح الخلل الأول ، عند العمل مع مستودع مصمم خصيصًا ، بتحقيق استخدام تحسينات الاستنساخ المحلية حتى عند استخدام وسيلة نقل تتفاعل مع أنظمة خارجية.
يسمح الخلل الثاني بوضع رابط رمزي بدلاً من الدليل $ GIT_DIR / Objects ، على غرار الثغرة الأمنية CVE-2022-39253 ، حيث تم منع وضع الروابط الرمزية في الدليل $ GIT_DIR / object ، ولكن الحقيقة أن الدليل $ GIT_DIR / الكائنات نفسه لم يتم التحقق منه قد يكون ارتباطًا رمزيًا.
في وضع النسخ المحلي ، تنقل git $ GIT_DIR / كائنات إلى الدليل الهدف عن طريق إلغاء الإشارة إلى الروابط الرمزية ، مما يؤدي إلى نسخ الملفات المرجعية مباشرة إلى الدليل الهدف. يسمح التبديل لاستخدام تحسينات النسخ المحلية للنقل غير المحلي باستغلال نقاط الضعف عند العمل مع المستودعات الخارجية (على سبيل المثال ، تضمين الوحدات الفرعية بشكل متكرر باستخدام الأمر "git clone --recurse-subodules" يمكن أن يؤدي إلى استنساخ مستودع ضار تم تجميعه على شكل وحدة فرعية في مستودع آخر).
- تسمح الثغرة الأمنية CVE-2023-23946 بالكتابة فوق محتويات الملفات خارج دليل العمل عن طريق تمرير إدخال منسق بشكل خاص إلى الأمر "git application". على سبيل المثال ، يمكن إجراء هجوم عندما تتم معالجة التصحيحات التي أعدها المهاجم في "git apply". لمنع التصحيحات من إنشاء ملفات خارج نسخة العمل ، يمنع "git application" معالجة التصحيحات التي تحاول كتابة ملف باستخدام روابط رمزية. لكن تبين فيما بعد أنه تم تجاوز هذه الحماية من خلال إنشاء رابط رمزي في المقام الأول.
المصدر: opennet.ru