{"id":106404,"date":"2023-01-19T06:48:10","date_gmt":"2023-01-19T04:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=106404"},"modified":"2023-01-19T14:02:40","modified_gmt":"2023-01-19T12:02:40","slug":"dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","title":{"rendered":"Zwei Schwachstellen in Git, die zu Remote-Code-Ausf\u00fchrung f\u00fchren k\u00f6nnen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es wurden Korrekturversionen des verteilten Versionsverwaltungssystems Git 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 und 2.30.7 ver\u00f6ffentlicht, in denen zwei Schwachstellen behoben wurden, die es erm\u00f6glichen, eigenen Code auf dem System des Benutzers auszuf\u00fchren, wenn der Befehl \u201agit archive\u2018 verwendet wird und mit nicht vertrauensw\u00fcrdigen externen Repositories gearbeitet wird. Die Schwachstellen wurden durch Fehler im Formatierungs-Code der Commits und beim Parsen der Datei \u201a.gitattributes\u2018 verursacht, die beim Verarbeiten externer Repositories zu einem Schreibzugriff au\u00dferhalb des Heap-Speichers und zum Lesen beliebiger Daten aus dem Speicher f\u00fchren k\u00f6nnen. <\/p>\n
Beide Anf\u00e4lligkeiten wurden w\u00e4hrend einer Sicherheitspr\u00fcfung des Git-Codebaus festgestellt, die von der Firma X41 im Auftrag der OSTIF (Open Source Technology Improvement Fund) durchgef\u00fchrt wurde, die gegr\u00fcndet wurde, um die Sicherheit von Open-Source-Projekten zu verbessern. Neben den beiden im Folgenden betrachteten kritischen Problemen wurden w\u00e4hrend der Pr\u00fcfung auch eine gef\u00e4hrliche Sicherheitsanf\u00e4lligkeit, eine Sicherheitsanf\u00e4lligkeit mittlerer Schwere und vier nicht kritische Probleme gefunden. Zudem wurden 27 Empfehlungen zur Verbesserung der Sicherheit des Codebaus ausgesprochen. <\/p>\n
\n
CVE-2022-41903: Ganzzahl\u00fcberlauf im Formatierungscode der Commit-Informationen, der bei der Verarbeitung gro\u00dfer Offset-Werte in F\u00fclloperatoren wie \u201a%<(', \u201a%(', \u201a%>>(' und \u201a%><(' auftritt. Der Ganzzahl\u00fcberlauf tritt in der Funktion format_and_pad_commit() aufgrund der Verwendung des Typs int f\u00fcr die Variable size_t auf, die beim Aufruf von memcpy() an der Bestimmung der Gr\u00f6\u00dfe des kopierten Blocks beteiligt ist.\n
Die Schwachstelle tritt sowohl bei direktem Aufruf mit speziell gestalteten Formatierungsparametern (z. B. bei Ausf\u00fchrung von \u201agit log \u2014format=\u2026\u2018) als auch bei indirekter Anwendung der Formatierung w\u00e4hrend der Ausf\u00fchrung des Befehls \u201agit archive\u2018 in einem vom Angreifer kontrollierten Repository auf. Im zweiten Fall werden die Formatierungsmodifikatoren \u00fcber den Parameter export-subst in der Datei \u201a.gitattributes\u2018 festgelegt, die der Angreifer in seinem Repository ablegen kann. Das Problem kann verwendet werden, um beliebige Bereiche im Heap zu lesen und zu schreiben, und kann zur Ausf\u00fchrung von Angreifer-Code f\u00fchren, wenn mit nicht gepr\u00fcften Repositories gearbeitet wird. <\/p>\n
CVE-2022-23521: Ganzzahl\u00fcberl\u00e4ufe beim Parsen des Inhalts von Dateien \u201a.gitattributes\u2018 in einem Repository, die auftreten, wenn eine sehr gro\u00dfe Anzahl von Dateipfadmustern oder eine gro\u00dfe Anzahl von Attributen mit einem Muster verarbeitet wird, sowie beim Parsen von sehr gro\u00dfen Attributnamen. Das Problem kann verwendet werden, um beliebige Bereiche im Heap zu lesen und zu schreiben, und kann zur Ausf\u00fchrung von Angreifer-Code f\u00fchren, wenn mit einem nicht gepr\u00fcften Repository gearbeitet wird, in dem der Angreifer eine speziell gestaltete Datei .gitattributes unterbringen und deren Aufnahme in den Index sicherstellen kann. <\/ul>\n
Die Ver\u00f6ffentlichung von Paketaktualisierungen in Distributionen kann auf den Seiten verfolgt werden: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. Um das Risiko einer Angreifung zu verringern, wird empfohlen, von der Arbeit mit nicht vertrauensw\u00fcrdigen Repositories und der Verwendung des Befehls [git archive] abzusehen, wenn ein Update nicht rechtzeitig installiert werden kann. Es ist wichtig, daran zu denken, dass der Befehl [git archive] implizit ausgef\u00fchrt werden kann, zum Beispiel \u00fcber [git daemon]. Um die Ausf\u00fchrung von [git archive] in [git daemon] zu deaktivieren, sollte der Parameter daemon.uploadArch mit dem Befehl [git config --global daemon.uploadArch false] ge\u00e4ndert werden. <\/p>\n
Zus\u00e4tzlich kann eine weitere Schwachstelle (CVE-2022-41953) im Produkt Git for Windows erw\u00e4hnt werden, die eine Ausf\u00fchrung von Code beim Klonen \u00fcber die grafische Benutzeroberfl\u00e4che nicht \u00fcberpr\u00fcfter externer Repositories erm\u00f6glicht. Das Problem entsteht, weil Git GUI f\u00fcr Windows nach dem Befehl [checkout] automatisch einige Nachbearbeitungsbefehle ausf\u00fchrt, wie zum Beispiel die Ausf\u00fchrung des Programms zur Rechtschreibpr\u00fcfung, wobei die Suchpfade f\u00fcr die Datei der Rechtschreibpr\u00fcfung auch das geklonte Arbeitsverzeichnis umfassen (der Angriff besteht darin, [spell-check] im Arbeitsverzeichnis des Repositories hinzuzuf\u00fcgen). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"