Апублікаваныя карэкціруючыя выпускі размеркаванай сістэмы кіравання зыходнымі тэкстамі Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 і 2.34.2, у якіх ухілены дзве ўразлівасці:
- CVE-2022-24765 – на шматкарыстальніцкіх сістэмах з сумесна выкарыстоўванымі каталогамі выяўлена магчымасць арганізацыі нападу, якая прыводзіць да запуску каманд, вызначаных іншым карыстачом. Атакуючы можа стварыць каталог «.git» у месцах, якія перасякаюцца з іншымі карыстальнікамі (напрыклад, у сумесна выкарыстоўваных каталогах або каталогах з часавымі файламі) і размясціць у ім файл канфігурацыі «.git/config» з наладай апрацоўшчыкаў, выкліканых пры выкананні тых ці іншых каманд git (напрыклад, для арганізацыі выканання кода можна выкарыстоўваць параметр core.fsmonitor).
Вызначаныя ў «.git/config» апрацоўшчыкі будуць выкліканыя з правамі іншага карыстача, калі гэты карыстач скарыстаецца git у каталогу, размешчаным узроўнем вышэй, чым створаны атакавалым падкаталог «.git». У тым ліку выклік можа быць здзейснены ўскосна, напрыклад, пры выкарыстанні рэдактараў кода з падтрымкай git, такіх як VS Code і Atom, або пры ўжыванні надбудоў, якія запускаюць "git status" (напрыклад, Git Bash ці posh-git). У версіі Git 2.35.2 уразлівасць блакіравана праз змены логікі пошуку ".git" у ніжэйлеглых каталогах (каталог ".git" зараз не ўлічваецца, калі ён належыць іншаму карыстачу).
- CVE-2022-24767 – спецыфічная для платформы Windows уразлівасць, якая дазваляе арганізаваць выкананне кода з прывілеямі SYSTEM пры запуску аперацыі выдалення (Uninstall) праграмы Git for Windows. Праблема выклікана тым, што праграма выдалення запускаецца ў часовым каталогу, даступным на запіс карыстальнікам сістэмы. Атака ажыццяўляецца праз размяшчэнне якія замяняюць DLL у часавым каталогу, якія будуць загружаныя пры запуску uninstaller з правамі SYSTEM.
Крыніца: opennet.ru