{"id":100021,"date":"2021-04-25T10:22:49","date_gmt":"2021-04-25T08:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-git-dlya-cygwin-pozvolyayushhaya-organizovat-vypolnenie-koda"},"modified":"2021-04-25T10:22:49","modified_gmt":"2021-04-25T08:22:49","slug":"uyazvimost-v-git-dlya-cygwin-pozvolyayushhaya-organizovat-vypolnenie-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-git-dlya-cygwin-pozvolyayushhaya-organizovat-vypolnenie-koda","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit in Git f\u00fcr Cygwin erm\u00f6glicht die Ausf\u00fchrung von Code.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In Git wurde eine kritische Sicherheitsanf\u00e4lligkeit (CVE-2021-29468) entdeckt, die nur beim Erstellen f\u00fcr die Cygwin-Umgebung auftritt (eine Bibliothek zur Emulation der grundlegenden Linux-API unter Windows und ein Satz typischer Linux-Programme f\u00fcr Windows). Die Sicherheitsanf\u00e4lligkeit erm\u00f6glicht es Angreifern, beim Abrufen von Daten (\"git checkout\") aus einem vom Angreifer kontrollierten Repository Code auszuf\u00fchren. Das Problem wurde im Git-Paket 2.31.1-2 f\u00fcr Cygwin behoben. Im Hauptprojekt von Git ist das Problem jedoch noch nicht behoben (es ist unwahrscheinlich, dass jemand Git selbst f\u00fcr Cygwin kompiliert, ohne ein fertiges Paket zu verwenden). <\/p>\n
Die Sicherheitsanf\u00e4lligkeit entsteht durch die Behandlung der Cygwin-Umgebung als Unix-\u00e4hnliches System anstelle von Windows, was dazu f\u00fchrt, dass es keine Einschr\u00e4nkungen bei der Verwendung des Zeichens ‘\’ im Pfad gibt. In Cygwin, wie auch in Windows, kann dieses Zeichen jedoch zur Trennung von Verzeichnissen verwendet werden. Dadurch ist es m\u00f6glich, \u00fcber die Erstellung eines speziell modifizierten Repositories, das symbolische Links und Dateien mit dem r\u00fcckw\u00e4rts gerichteten Schr\u00e4gstrich enth\u00e4lt, die \u00dcberschreibung beliebiger Dateien zu erreichen, wenn dieses Repository in Cygwin geladen wird (eine \u00e4hnliche Sicherheitsanf\u00e4lligkeit in Git f\u00fcr Windows wurde 2019 behoben). Erh\u00e4lt der Angreifer die M\u00f6glichkeit, Dateien zu \u00fcberschreiben, kann er die Hook-Aufrufe in Git \u00fcberschreiben und beliebigen Code auf dem System ausf\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"