Уязвимости в Git, водещи до изтичане и презапис на данни

Публикувани са корекционни версии на разпределената система за управление на изходния код Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 и 2.30.8, в които са отстранени две уязвимости, засягащи оптимизациите при локалното клониране и командата «git apply». Можете да следите издаването на актуализации на пакетите в дистрибуциите на страниците на Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Ако инсталирането на актуализацията не е възможно, за да заобиколите проблема, се препоръчва да избягвате изпълнението на операцията «git clone» с опцията «—recurse-submodules» с ненадеждни репозитории, както и да не използвате командите «git apply» и «git am» с непроверен код.

• Уязвимостта CVE-2023-22490 позволява на нападателя, контролиращ съдържанието на клонирания репозитори, да получи достъп до конфиденциални данни в системата на потребителя. Появата на уязвимостта се дължи на две недоучености:

  Първата недоученост позволява при работа с предварително подготвен репозитори да се постигне прилагането на локални оптимизации при клониране, дори при ползване на транспорт, взаимодействуващ с външни системи.

  Втората недоученост допуска разполагане на символична връзка вместо директорията $GIT_DIR/objects, подобно на уязвимостта CVE-2022-39253, при поправката на която беше блокирано поставянето на символични връзки в директорията $GIT_DIR/objects, но не беше проверяван фактът, че самата директория $GIT_DIR/objects може да бъде символична връзка.

  В режим на локално клониране git прехвърля $GIT_DIR/objects в целевата директория, извършвайки разименуване на символични връзки, което води до това целевата директория да копира директно файловете, на които сочат връзките. Превключването на прилагане на локални оптимизации за клониране за нелокален транспорт позволява експлоатирането на уязвимост при работа с външни репозитории (например, рекурсивното включване на субмодули с командата «git clone —recurse-submodules» може да доведе до клониране на злонамерен репозиторий, опакован под формата на субмодул в друг репозиторий).

• Уязвимостта CVE-2023-23946 позволява презаписването на съдържанието на файлове извън работната директория чрез подаване на специално форматиран вход в командата «git apply». Например, атака може да бъде извършена при обработката на подготвени злонамерени патчове в «git apply». За да блокира създаването на файлове с патчовете извън работната копия, «git apply» блокира обработката на патчове, опитващи се да запишат файл с помощта на символични връзки. Но тази защита може да бъде заобиколена, като първо се създаде символична връзка.

Източник: opennet.ru