Публикувани са корективни версии на разпределената система за управление на изходния код Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 и 2.34.2, в които са отстранени две уязвимости:
- CVE-2022-24765 — в многопотребителски системи с общи директории е открита възможност за атака, водеща до изпълнение на команди, определени от друг потребител. Атакуващият може да създаде директория „.git“ на места, пресичащи се с други потребители (например, в общи директории или директории с временни файлове) и да постави в нея конфигурационен файл „.git/config“ с настройки за обработчици, които ще се извикват при изпълнението на определени git команди (например, за организиране на изпълнението на код може да се използва параметърът core.fsmonitor).
Определените в „.git/config“ обработчици ще бъдат извикани с правата на друг потребител, ако този потребител използва git в директория, разположена на ниво по-високо от създадената от атакуващия поддиректория „.git“. Извикването може да се осъществи и косвено, например, при използването на кодови редактори с поддръжка на git, като VS Code и Atom, или при използването на надстройки, които стартират „git status“ (например, Git Bash или posh-git). В версия Git 2.35.2 уязвимостта е блокирана чрез промяна на логиката за търсене на „.git“ в подлежащите директории (директорията „.git“ вече не се взема предвид, ако принадлежи на друг потребител).
- CVE-2022-24767 — специфична за платформата Windows уязвимост, която позволява организиране на изпълнение на код с привилегии SYSTEM при стартиране на операцията за деинсталиране (Uninstall) на програмата Git for Windows. Проблемът е причинен от това, че програмата за деинсталиране се стартира в времевата директория, достъпна за запис от потребителите на системата. Атаката се осъществява чрез поставяне на заменящи DLL в временната директория, които ще бъдат заредени при стартиране на uninstaller с правата на SYSTEM.
Източник: opennet.ru
