Kritika vundebleco estis identigita en Git (CVE-2021-29468), kiu aperas nur dum konstruado por la Cygwin-medio (biblioteko por kopii la bazan Linuksan API en Vindozo kaj aro de normaj Linuksaj programoj por Vindozo). La vundebleco permesas atakan kodon esti efektivigita kiam oni prenas datumojn ("git checkout") de deponejo kontrolita de la atakanto. La problemo estas riparita en la pako git 2.31.1-2 por Cygwin. En la ĉefa Git-projekto, la problemo ankoraŭ ne estis riparita (ne verŝajne iu konstruas git por Cygwin per siaj propraj manoj, anstataŭ uzi pretan pakaĵon).
La vundebleco estas kaŭzita de la pretigo de Cygwin de la medio kiel Unikso-simila sistemo prefere ol Vindozo, kiu rezultigas neniujn restriktojn pri la uzo de la '\' karaktero en la pado, dum en Cygwin, kiel en Vindozo, tiu karaktero povas esti. uzata por apartigi dosierujojn. Kiel rezulto, kreante speciale modifitan deponejon enhavantan simbolajn ligilojn kaj dosierojn kun backslash-karaktero, eblas anstataŭigi arbitrajn dosierojn dum ŝarĝo de ĉi tiu deponejo en Cygwin (simila vundebleco estis riparita en Git por Vindozo en 2019). Akirante la kapablon anstataŭigi dosierojn, atakanto povas superregi hokvokojn en git kaj kaŭzi arbitran kodon esti efektivigita sur la sistemo.
fonto: opennet.ru