Две уязвимости в Git, които могат да доведат до отдалечено изпълнение на код

Публикувани са коригиращи версии на разпределената система за управление на изходния код Git 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 и 2.30.7, в които са отстранени две уязвимости, позволяващи изпълнението на произволен код на потребителската система при използване на командата „git archive“ и работа с недоверени външни репозитории. Уязвимостите са причинени от грешки в кода за форматиране на комитите и парсването на файла „.gitattributes“, които при обработка на външни репозитории могат да доведат до запис в паметта извън купчина и четене на произволни данни от паметта.

И двете уязвимости бяха открити по време на одит на сигурността на кодовата база на Git, проведен от компанията X41 по заявление на фонда OSTIF (Фонд за подобряване на технологии с отворен код), създаден с цел повишаване на сигурността на отворените проекти. Освен двете разглеждани по-долу критични проблеми, по време на одита бяха открити и една опасна уязвимост, една уязвимост със средна степен на опасност и четири неопасни проблема. Също така бяха предложени 27 препоръки за повишаване на сигурността на кодовата база.

• CVE-2022-41903: целочислено препълване в кода за форматиране на информация за комитите, което възниква при обработка на големи стойности на отместване в операторите за запълване, като „%<(“, „%“, „%>>“ и „%><“. Целочислено препълване възниква в функцията format_and_pad_commit() поради използването на типа int за променливата size_t, която участва в определянето на размера на блока, който се копира при извикване на memcpy().

  Уязвимостта се проявява както при директно извикване със специално форматирани параметри (например, при стартиране на „git log —format=…“), така и при индиректно прилагане на форматирането по време на изпълнението на командата „git archive“ в репозитория, контролиран от атакуващия. Във втория случай модификаторите за форматиране се задават чрез параметъра export-subst във файла „.gitattributes“, който нападателят може да разположи в своя репозитория. Проблемът може да се използва за четене и запис на произволни области в купчината и доведе до изпълнението на код на злонамерен потребител при работа с непроверени репозитории.
• CVE-2022-23521: целочислени препълвания при парсване на съдържанието на файловете „.gitattributes“ в репозитория, проявяващи се при обработка на много голям брой шаблони за файлови пътища или голям брой атрибути с един шаблон, както и при парсване на много големи имена на атрибути. Проблемът може да се използва за четене и запис на произволни области в купчината и доведе до изпълнение на код от злонамерен потребител при работа с непроверен репозиторий, в който атакуващият може да постави специално оформен файл .gitattributes и да осигури неговото попадането в индекса.

Актуализация на пакетите в дистрибуциите може да се проследи на страниците: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. За снижаване на риска от извършване на атаки при невъзможност за навременно инсталиране на актуализация, се препоръчва да се въздържате от работа с недостоверни репозитории и от използването на команда "git archive". Важно е да се помни, че командата "git archive" може да бъде стартирана неявно, например, от git daemon. За деактивиране на стартирането на "git archive" в git daemon, променете параметъра daemon.uploadArch с командата "git config —global daemon.uploadArch false".

Допълнително може да се отбележи още една уязвимост (CVE-2022-41953) в продукта Git for Windows, която позволява изпълнение на код при клониране през графичен интерфейс на непроверени външни репозитории. Проблемът произтича от това, че Git GUI за Windows автоматично стартира някои команди за последваща обработка след операцията "checkout", като например изпълнение на програмата spell-check за проверка на правописа, при което пътищата за търсене на файла spell-check обхващат и клонираното работно дърво (атаката се свежда до добавяне на spell-check в работното дърво на репозитория).

Източник: opennet.ru