Уязвимости в Git, позволяващи записване на файлове или изпълнение на собствен код

Публикувани са коригиращи версии на разпределената система за управление на изходни текстове Git 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 и 2.30.9, в които са отстранени пет уязвимости. Можете да следите за актуализациите на пакетите в дистрибуциите на страниците Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. За защита срещу уязвимостите се препоръчва да се избягва изпълнението на командата "git apply —reject" при работа с непроверени външни патчове и да се проверява съдържанието на $GIT_DIR/config преди стартиране на командите "git submodule deinit", "git config —rename-section" и "git config —remove-section" при работа с нерегламентирани репозитории.

Уязвимостта CVE-2023-29007 позволява замяна на настройки в конфигурационния файл $GIT_DIR/config, които могат да се използват за изпълнение на код в системата чрез указване на пътища към изпълними файлове в директивите core.pager, core.editor и core.sshCommand. Уязвимостта е предизвикана от логическа грешка, при която много дълги стойности на конфигурацията могат да бъдат обработени като начало на нова секция при изпълнение на операции за преименуване или премахване на секция от конфигурационния файл. На практика, заместването на експлоатируеми стойности може да бъде постигнато чрез указване на много дълги URL адреси на субмодули, които се запазват в файла $GIT_DIR/config по време на инициализация. Тези URL адреси могат да бъдат интерпретирани като нови настройки при опит за тяхното премахване чрез "git submodule deinit".

Уязвимостта CVE-2023-25652 позволява презаписване на съдържанието на файлове извън работното дърво при обработка на командата "git apply —reject" за специално оформени патчове. При опит за изпълнение на командата "git apply" с вредоносен патч, който се опитва да запише файл чрез символична връзка, операцията ще бъде отхвърлена. В Git 2.39.1 защитата от манипулации чрез символични връзки беше допълнена с блокировка на патчове, които създават символични връзки и също се опитват да извършат запис чрез тях. Същността на обсъжданата уязвимост е, че Git не е взел предвид, че потребителят може да изпълни командата "git apply —reject" за записване на отхвърлените части на патча във файлове с разширение ".rej" и атакуващият може да използва тази възможност за запис на съдържание в произволен каталог, в зависимост от текущите права за достъп.

Освен това, отстранени са три уязвимости, проявяващи се само на платформата Windows: CVE-2023-29012 (търсене на изпълнимия doskey.exe в работния каталог на репозитория при изпълнение на команда „Git CMD“, което позволява изпълнението на собствен код в системата на потребителя), CVE-2023-25815 (препълване на буфера при обработка на специално оформени файлове за локализация в gettext) и CVE-2023-29011 (възможност за замяна на файла connect.exe при работа чрез SOCKS5).

Източник: opennet.ru