Byly vydány opravné verze distribuovaného systému správy zdrojového kódu Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 a 2.30.8, ve kterých byly odstraněny dvě zranitelnosti ovlivňující optimalizace při místním klonování a příkaz "git apply". Informace o vydání aktualizací balíčků v distribucích můžete sledovat na stránkách Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Pokud není možné aktualizaci nainstalovat, doporučuje se jako obchvatní opatření vyhnout se provádění operace "git clone" s volbou "--recurse-submodules" z nedůvěryhodných repozitářů a také nepoužívat příkazy "git apply" a "git am" s neověřeným kódem.
- Zranitelnost CVE-2023-22490 umožňuje útočníkovi, který ovládá obsah klonovaného repozitáře, získat přístup k důvěrným datům v systému uživatele. Vzniku zranitelnosti napomáhají dvě nedostatky:
První nedostatek umožňuje při práci se speciálně upraveným repozitářem dosáhnout použití místních optimalizací klonování i při použití transportu, který interaguje s externími systémy.
Druhý nedostatek umožňuje umístění symbolického odkazu místo adresáře $GIT_DIR/objects, obdobně jako u zranitelnosti CVE-2022-39253, kde bylo opraveno blokování umístění symbolických odkazů v adresáři $GIT_DIR/objects, ale nebylo ověřeno, že samotný adresář $GIT_DIR/objects může být symbolickým odkazem.
V režimu místního klonování git přesouvá $GIT_DIR/objects do cílového adresáře a vyhodnocuje symbolické odkazy, což vede k tomu, že do cílového adresáře jsou kopírovány přímo soubory, na které odkazy ukazují. Přepnutí na použití místních optimalizací klonování pro nelokální transport umožňuje zneužití zranitelnosti při práci s externími repozitář ři (například rekurzivní zahrnutí submodulů příkazem "git clone --recurse-submodules" může vést ke klonování škodlivého repozitáře zabaleného jako submodul v jiném repozitáři).
- Zranitelnost CVE-2023-23946 umožňuje přepsat obsah souborů mimo pracovní adresář prostřednictvím speciálně formátovaného vstupu v příkazu „git apply“. Například útok může být proveden při zpracování připravených škodlivých záplat v „git apply“. Aby se zabránilo vytváření souborů mimo pracovní kopii, „git apply“ blokuje zpracování záplat, které se pokoušejí zapsat soubor pomocí symbolických odkazů. Ale tuto ochranu bylo možné obejít vytvořením symbolického odkazu jako prvního kroku.
Zdroj: opennet.ru
