Уязвимости в Git, водещи до изтичане на данни и презаписване

Публикувани са коригиращи версии на системата за контрол на разпределения код Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 и 2.30.8, в които са открити две уязвимости се елиминират, засягайки локалните оптимизации за клониране и командата "git apply". Можете да следите издаването на актуализации на пакети в дистрибуции на страниците на Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Ако не е възможно да инсталирате актуализацията, препоръчва се като заобиколно решение да избягвате стартирането на git clone с опцията --recurse-submodules в ненадеждни хранилища и да не използвате git apply и git am команди с ненадежден код.

• Уязвимост CVE-2023-22490 позволява на атакуващ, който контролира съдържанието на клонирано хранилище, да получи достъп до поверителни данни в системата на потребителя. Два недостатъка допринасят за появата на уязвимостта:

  Първият недостатък позволява, когато работите със специално проектирано хранилище, да постигнете използването на локални оптимизации за клониране, дори когато използвате транспорт, който взаимодейства с външни системи.

  Вторият пропуск позволява поставянето на символна връзка вместо директорията $GIT_DIR/objects, подобно на уязвимостта CVE-2022-39253, при корекцията на която поставянето на символни връзки в директорията $GIT_DIR/objects беше блокирано, но фактът че самата директория $GIT_DIR/objects не е проверена може да е символна връзка.

  В режим на локално клониране, git премества $GIT_DIR/objects в целевата директория чрез дерефериране на символни връзки, което кара референтните файлове да бъдат копирани директно в целевата директория. Преминаването към използване на оптимизации за локално клониране за нелокален транспорт позволява използване на уязвимости при работа с външни хранилища (например рекурсивно включване на подмодули с командата "git clone --recurse-submodules" може да доведе до клониране на злонамерено хранилище, пакетирано като подмодул в друго хранилище).

• Уязвимост CVE-2023-23946 позволява презаписване на съдържанието на файлове извън работната директория чрез подаване на специално форматиран вход към командата "git apply". Например, атака може да бъде извършена, когато кръпки, подготвени от нападател, се обработват в „git apply“. За да блокира пачовете да създават файлове извън работното копие, "git apply" блокира обработката на пачове, които се опитват да напишат файл с помощта на символни връзки. Но тази защита се оказа заобиколена чрез създаване на символна връзка на първо място.

Източник: opennet.ru