নিরাপত্তা ফিক্স সহ Git 2.35.2 রিলিজ

ডিস্ট্রিবিউটেড সোর্স কন্ট্রোল সিস্টেম Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 এবং 2.34.2 এর সংশোধনমূলক রিলিজ প্রকাশিত হয়েছে, যেখানে দুটি দুর্বলতা সংশোধন করা হয়েছে:

• CVE-2022-24765 - শেয়ার্ড ডিরেক্টরি সহ মাল্টি-ইউজার সিস্টেমে একটি আক্রমণ চিহ্নিত করা হয়েছে যা অন্য ব্যবহারকারীর দ্বারা সংজ্ঞায়িত কমান্ডগুলি কার্যকর করতে পারে। একজন আক্রমণকারী এমন জায়গায় একটি ".git" ডিরেক্টরি তৈরি করতে পারে যা অন্যান্য ব্যবহারকারীদের সাথে ছেদ করে (উদাহরণস্বরূপ, অস্থায়ী ফাইলগুলির সাথে ভাগ করা ডিরেক্টরি বা ডিরেক্টরিগুলিতে) এবং হ্যান্ডলারগুলির কনফিগারেশনের সাথে এটিতে একটি ".git/config" কনফিগারেশন ফাইল রাখতে পারে। যখন নির্দিষ্ট কাজগুলি চালানো হয় তখন বলা হয়।

  ".git/config"-এ সংজ্ঞায়িত হ্যান্ডলারগুলিকে একটি ভিন্ন ব্যবহারকারী হিসাবে ডাকা হবে যদি সেই ব্যবহারকারী আক্রমণকারীর দ্বারা তৈরি করা ".git" সাবডিরেক্টরি থেকে উচ্চতর একটি ডিরেক্টরিতে গিট অ্যাক্সেস করে। কল সহ পরোক্ষভাবে করা যেতে পারে, উদাহরণস্বরূপ, যখন গিট সমর্থন সহ কোড এডিটর ব্যবহার করা হয়, যেমন VS কোড এবং অ্যাটম, বা যখন অ্যাড-অনগুলি ব্যবহার করে যা "গিট স্ট্যাটাস" ট্রিগার করে (উদাহরণস্বরূপ, গিট ব্যাশ বা পশ-গিট)। Git 2.35.2 সংস্করণে, অন্তর্নিহিত ডিরেক্টরিগুলিতে ".git" অনুসন্ধানের যুক্তিতে পরিবর্তনের মাধ্যমে দুর্বলতা ব্লক করা হয়েছিল (".git" ডিরেক্টরিটি এখন উপেক্ষা করা হয় যদি এটি অন্য ব্যবহারকারীর হয়)।

• CVE-2022-24767 হল একটি উইন্ডোজ-নির্দিষ্ট দুর্বলতা যা উইন্ডোজের জন্য গিট-এর আনইনস্টল অপারেশন চালানোর সময় সিস্টেমের বিশেষাধিকারের সাথে কোড চালানোর অনুমতি দেয়। সিস্টেম ব্যবহারকারীদের দ্বারা লিখিত একটি অস্থায়ী ডিরেক্টরিতে চলমান আনইনস্টলারের কারণে সমস্যাটি ঘটে। আক্রমণটি একটি অস্থায়ী ডিরেক্টরিতে প্রতিস্থাপনের DLL স্থাপন করে করা হয়, যেটি লোড হবে যখন আনইনস্টলারটি SYSTEM অধিকার সহ চালানো হবে।

উত্স: opennet.ru