{"id":103775,"date":"2022-04-13T03:37:00","date_gmt":"2022-04-13T01:37:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej"},"modified":"2022-04-13T03:37:00","modified_gmt":"2022-04-13T01:37:00","slug":"vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","title":{"rendered":"Release of Git 2.35.2 addressing vulnerabilities","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Korrigerede udgaver af det distribuerede versionstyringssystem Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 og 2.34.2 er blevet offentliggjort, hvor to s\u00e5rbarheder er blevet rettet: <\/p>\n
\n
CVE-2022-24765 \u2014 p\u00e5 multibrugersystemer med delte mapper er der identificeret en s\u00e5rbarhed, der muligg\u00f8r angreb, som kan f\u00f8re til udf\u00f8relse af kommandoer bestemt af en anden bruger. En angriber kan oprette en mappe '.git' i steder, der overlapper med andre brugere (for eksempel i delte mapper eller mapper med midlertidige filer) og placere en konfigurationsfil '.git\/config' i denne mappe med indstillinger for de h\u00e5ndtere, der aktiveres ved udf\u00f8relsen af forskellige git-kommandoer (for eksempel kan parameteren core.fsmonitor bruges til at tilrettel\u00e6gge udf\u00f8relse af kode).\n
Bestemte h\u00e5ndtere defineret i '.git\/config' vil blive kaldt med rettigheder til en anden bruger, hvis denne bruger bruger git i en mappe, der ligger et niveau over den angriberen har oprettet '.git' undermappen i. I nogle tilf\u00e6lde kan kaldet blive foretaget indirekte, for eksempel ved brug af kodeeditorer med git-support, som VS Code og Atom, eller ved anvendelse af udvidelser, der k\u00f8rer 'git status' (for eksempel Git Bash eller posh-git). I version Git 2.35.2 er s\u00e5rbarheden blokeret gennem \u00e6ndringer i logikken til at s\u00f8ge efter '.git' i underliggende mapper (mappen '.git' tages nu ikke i betragtning, hvis den tilh\u00f8rer en anden bruger). <\/p>\n
CVE-2022-24767 \u2014 en Windows-specifik s\u00e5rbarhed, der muligg\u00f8r udf\u00f8relse af kode med SYSTEM-rettigheder ved udf\u00f8relse af afinstallationsoperationen (Uninstall) af programmet Git for Windows. Problemet er for\u00e5rsaget af, at afinstalleringsprogrammet k\u00f8rer i en midlertidig mappe, der er skrivebar for systembrugere. Angrebet udf\u00f8res ved at placere erstattende DLL-filer i den midlertidige mappe, som vil blive indl\u00e6st, n\u00e5r afinstalleringsprogrammet k\u00f8res med SYSTEM-rettigheder. <\/ul>\n