Актуализация на Git, която отстранява 8 уязвимости

Публикувани Коригирани издания на разпределената система за управление на изходните текстове Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 и 2.14.6, в които са отстранени уязвимостите, позволяващи на нападателя да манипулира произволни пътища в файловата система, да инициира отдалечено изпълнение на код или да презапише файлове в директорията «.git/». Повечето проблеми са идентифицирани от служители
Microsoft Security Response Center, пет от осемте уязвимости са специфични за платформата Windows.

• CVE-2019-1348 — потокова команда «feature export-marks=path»позволява записва етикети в произволни директории, което може да се използва за презаписване на произволни пътища в файловата система при изпълнение на операция «git fast-import» с непроверени входни данни.
• CVE-2019-1350 — некоректно екраниране на аргументите в командния ред може да доведе до отдалечено изпълнение на код от нападателя при рекурсивно клониране с използване на URL ssh://. По-специално, некоректното обработване на аргументите, завършващи на обратен слеш (например, «test \»), при обграждане на аргумента с двойни кавички, последната кавичка се оказваше екранирана, което позволяваше подмяна на собствени опции в командния ред.
• CVE-2019-1349 — при рекурсивно клониране на субмодули («clone —recurse-submodules») в среда на Windows при определени условия можеше да инициира използването на една git-директория два пъти (.git, git~1, git~2 и git~N в NTFS се разпознават като една директория, но тази ситуация е проверявана само за git~1), което може да се използва за организиране на запис в директорията «.git». За да осъществи изпълнението на своя код, нападателят, например, може да подмени своя скрипт чрез обработчика post-checkout във файла .git/config.
• CVE-2019-1351 — обработката на буквени имена на дискове в пътищата на Windows при транслация на пътища от вида «C:\» е предвидена единствено за замяна на еднобуквени латински идентификатори, но не взимаше предвид възможността за създаване на виртуални дискове, назначавани чрез «subst буква:път». Такива пътища се обработваха не като абсолютни, а като относителни, което позволяваше при клониране на злонамерен репозиторий да се организира запис в произволна директория извън работното дърво на директориите (например, при използване на цифри или unicode символи в името на диска — «1:\what\the\hex.txt» или «ä:\tschibät.sch»).
• CVE-2019-1352 — при работа с платформа Windows, използването на алтернативни потоци данни в NTFS, създавани чрез добавяне на маркер «:stream-name:stream-type» към името на файла, позволяваше презаписване на файлове в директорията «.git/» при клониране на злонамерен репозиториум. Например, името «.git::$INDEX_ALLOCATION» в NTFS се обработваше като валидна връзка към директорията «.git».
• CVE-2019-1353 — при използване на Git в среда WSL (Windows Subsystem for Linux) при достъп до работната директория не е прилагана защита от манипулации с имената в NTFS (възможни атаки чрез транслация на имена FAT, например, към «.git» можеше да се получи достъп чрез директория «git~1»).
• CVE-2019-1354 —
  възможност за записи в директорията «.git/» на платформата Windows при клониране на злонамерени репозитории, съдържащи файлове с обратен слеш в името (например, «a\b»), който е допустим в Unix/Linux, но се възприема като част от пътя в Windows.
• CVE-2019-1387 — недостатъчна проверка на имената на субмодулите можеше да се използва за организиране на целеви атаки, които при рекурсивно клониране потенциално биха могли да доведат до изпълнение на кода на атакуващия. Git не забраняваше създаването на директория на субмодул в директория на друг субмодул, което в повечето случаи само може да доведе до объркване, но потенциално не изключва презаписването на съдържанието на друг модул по време на рекурсивното клониране (например, директориите на субмодулите «hippo» и «hippo/hooks» се разполагат като «.git/modules/hippo/» и «.git/modules/hippo/hooks/», а директорията hooks в hippo може да се използва отделно за разполагане на стартиращи обработчици.

На потребителите на Windows се препоръчва спешно да актуализират версията на Git, а до актуализацията да се въздържат от клониране на непроверени репозитории. Ако няма възможност да се актуализира версията на Git, за да се минимизира рискът от атака, се препоръчва да не се стартират «git clone --recurse-submodules» и «git submodule update» с непроверени репозитории, да не се използва «git fast-import» с непроверени входни потоци и да не се клонират репозитории в дялове на базата на NTFS.

За допълнителна защита в новите версии също е забранено използването в .gitmodules на конструкции във формата «submodule.{name}.update=!command». За дистрибутивите можете да наблюдавате издаването на актуализации на пакетите на страниците Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Източник: opennet.ru