Zranitelnosti v Gitu, jež se projevují při klonování submodulů a používání git shell

Byly vydány opravy distribuovaného systému správy zdrojového kódu Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 a 2.37.4, které odstranily dvě zranitelnosti, které se projevovaly při použití příkazu „git clone“ v režimu „—recurse-submodules“ s neověřenými repozitáři a při používání interaktivního režimu „git shell“. Sledovat vydání aktualizací balíčků v distribucích lze na stránkách Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

• CVE-2022-39253 — zranitelnost umožňuje útočníkovi, který kontroluje obsah klonovaného repozitáře, získat přístup k důvěrným údajům v systému uživatele, prostřednictvím umístění symbolických odkazů na zajímavé soubory v adresáři $GIT_DIR/objects klonovaného repozitáře. Problém se projevuje pouze při místním klonování (v režimu „—local“, který se používá, když jsou cílová a zdrojová data klonování na stejném oddílu) nebo při klonování škodlivého repozitáře zabaleného ve formě submodulu v jiném repozitáři (například při rekurzivním zahrnutí submodulů příkazem „git clone —recurse-submodules“).

  Zranitelnost je způsobena tím, že v režimu klonování „—local“ git přesouvá obsah $GIT_DIR/objects do cílového adresáře (vytváří tvrdé odkazy nebo kopie souborů), provádí dereferenci symbolických odkazů (tj. do cílového adresáře se kopírují nikoli symbolické odkazy, ale přímo soubory, na které odkazy ukazují). Aby se zablokovalo projevení zranitelnosti v nových verzích gitu, bylo zakázáno klonování repozitářů v režimu „—local“, které obsahují symbolické odkazy v adresáři $GIT_DIR/objects. Dále byla výchozí hodnota parametru protocol.file.allow změněna na „user“, což umisťuje operace klonování s použitím protokolu file:// do kategorie nebezpečných.

• CVE-2022-39260 — přetečení celého čísla ve funkci split_cmdline(), která se používá v příkazu „git shell“. Problém může být využit k útoku na uživatele, kteří mají „git shell“ nastaven jako shell při přihlášení a je aktivován interaktivní režim (vytvořen soubor $HOME/git-shell-commands). Využití zranitelnosti může vést ke spuštění libovolného kódu v systému při předání speciálně formátovaného příkazu většího než 2 GB.

Zdroj: opennet.ru