Byly vydány opravy distribuovaného systému správy verzí Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 a 2.34.2, v nichž byly opraveny dvě zranitelnosti:
- CVE-2022-24765 — na vícemožných systémech se sdílenými adresáři byla zjištěna možnost provést útok, který by vedl k spuštění příkazů definovaných jiným uživatelem. Útočník může vytvořit adresář „.git“ na místech, která se překrývají s ostatními uživateli (například ve sdílených adresářích nebo adresářích s dočasnými soubory), a umístit do něj konfigurační soubor „.git/config“ se nastavením handlerů, které se spouštějí při vykonání určitých příkazů git (například pro vykonání kódu lze použít parametr core.fsmonitor).
Handle, definované v „.git/config“, budou spuštěny s právy jiného uživatele, pokud tento uživatel použije git v adresáři, který je výše než podadresář „.git“, vytvořený útočníkem. Včetně přesného volání, které může být provedeno nepřímo, například při používání editorů kódu s podporou git, jako je VS Code a Atom, nebo při použití rozšíření, která spouští „git status“ (například Git Bash nebo posh-git). Ve verzi Git 2.35.2 byla zranitelnost zablokována změnou logiky vyhledávání „.git“ v podřazených adresářích (adresář „.git“ není nyní uvažován, pokud patří jinému uživateli).
- CVE-2022-24767 — zranitelnost specifická pro platformu Windows, která umožňuje provést kód s privilegii SYSTEM při spuštění operace odinstalování programu Git for Windows. Problém je způsoben tím, že program odinstalace se spouští v dočasném adresáři, který je zapisovatelný uživateli systému. Útok se provádí prostřednictvím umístění nahrazujících DLL do dočasného adresáře, které budou načteny při spuštění odinstalátoru s privilegii SYSTEM.
Zdroj: opennet.ru
