Издание на Git 2.35.2 с поправени уязвимости

Публикувани са коригиращи версии на разпределената система за управление на изходни текстове Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 и 2.34.2, в които са отстранени две уязвимости:

• CVE-2022-24765 — в многопользовательских системах с общими каталогами обнаружена возможность проведения атаки, которая позволяет запускать команды, определяемые другим пользователем. Атакующий может создать каталог «.git» в местах, пересекающихся с другими пользователями (например, в общих каталогах или каталогах с временными файлами) и разместить в нем файл конфигурации «.git/config» с установками обработчиков, которые будут вызываться при выполнении определенных команд git (например, для выполнения кода можно использовать параметр core.fsmonitor).

  Определенные в «.git/config» обработчики будут вызываться с правами другого пользователя, если этот пользователь использует git в каталоге, расположенном на уровень выше, чем созданный атакующим подкаталог «.git». Также вызов может происходить косвенно, например, при использовании редакторов кода с поддержкой git, таких как VS Code и Atom, или при применении надстроек, запускающих «git status» (например, Git Bash или posh-git). В версии Git 2.35.2 уязвимость была устранена за счет изменения логики поиска «.git» в нижележащих каталогах (каталог «.git» теперь не учитывается, если он принадлежит другому пользователю).

• CVE-2022-24767 — уязвимость, специфичная для платформы Windows, позволяющая осуществить выполнение кода с привилегиями SYSTEM при запуске операции удаления (Uninstall) программы Git for Windows. Проблема вызвана тем, что программа удаления запускается в временном каталоге, доступном для записи пользователям системы. Атака выполняется через размещение заменяющих DLL во временном каталоге, которые будут загружены при запуске uninstaller с правами SYSTEM.

Източник: opennet.ru