تم نشر الإصدارات التصحيحية لنظام التحكم بالمصادر الموزعة Git 2.35.2 و2.30.3 و2.31.2 و2.32.1 و2.33.2 و2.34.2، والتي تعمل على إصلاح ثغرتين أمنيتين:
- CVE-2022-24765 – في الأنظمة متعددة المستخدمين ذات الدلائل المشتركة، تم التعرف على هجوم قد يؤدي إلى تنفيذ الأوامر المحددة من قبل مستخدم آخر. يمكن للمهاجم إنشاء دليل ".git" في الأماكن التي تتداخل مع مستخدمين آخرين (على سبيل المثال، في الدلائل المشتركة أو الدلائل التي تحتوي على ملفات مؤقتة) ووضع ملف تكوين ".git/config" فيه مع تكوين المعالجات التي يتم استدعاؤها عندما يتم تنفيذ مهام معينة بواسطة أوامر git (على سبيل المثال، يمكنك استخدام المعلمة core.fsmonitor لتنظيم تنفيذ التعليمات البرمجية).
سيتم استدعاء المعالجات المحددة في ".git/config" بحقوق مستخدم آخر إذا كان هذا المستخدم يستخدم git في دليل يقع على مستوى أعلى من الدليل الفرعي ".git" الذي أنشأه المهاجم. يمكن أيضًا إجراء الاستدعاء بشكل غير مباشر، على سبيل المثال، عند استخدام برامج تحرير التعليمات البرمجية التي تدعم git، مثل VS Code وAtom، أو عند استخدام الوظائف الإضافية التي تقوم بتشغيل "حالة git" (على سبيل المثال، Git Bash أو posh-git). في Git 2.35.2، تم حظر الثغرة الأمنية من خلال إجراء تغييرات على منطق البحث عن ".git" في الدلائل الأساسية (لم يتم أخذ دليل ".git" في الاعتبار الآن إذا كان مملوكًا لمستخدم آخر).
- CVE-2022-24767 هي ثغرة أمنية خاصة بالنظام الأساسي لنظام التشغيل Windows تسمح بتنفيذ التعليمات البرمجية بامتيازات SYSTEM عند تشغيل عملية إلغاء التثبيت لبرنامج Git لنظام التشغيل Windows. سبب المشكلة هو أن برنامج إلغاء التثبيت يعمل في دليل مؤقت يمكن لمستخدمي النظام الكتابة فيه. يتم تنفيذ الهجوم عن طريق وضع ملفات DLL بديلة في دليل مؤقت، والذي سيتم تحميله عند بدء تشغيل برنامج إلغاء التثبيت بحقوق النظام.
المصدر: opennet.ru