Korektaj eldonoj de Git 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 kaj 2.30.9 estis publikigitaj. , kiu riparis kvin vundeblecojn. Vi povas sekvi la liberigon de pakaj ĝisdatigoj en distribuoj sur la paĝoj Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Kiel solvo por protekti kontraŭ vundeblecoj, oni rekomendas eviti ruli la komandon "git apply --reject" kiam oni laboras kun neprovitaj eksteraj flikaĵoj, kaj kontroli la enhavon de $GIT_DIR/config antaŭ ol ruli la "git submodule deinit", "git". config --rename-section" kaj "git config --remove-section" kiam vi traktas nefidindajn deponejojn.
Vundebleco CVE-2023-29007 permesas anstataŭigon de agordoj en la agorda dosiero $GIT_DIR/config, kiu povas esti uzata por ekzekuti kodon en la sistemo specifante vojojn al ruleblaj dosieroj en la direktivoj core.pager, core.editor kaj core.sshCommand. La vundebleco estas kaŭzita de logika eraro pro kiu tre longaj agordaj valoroj povas esti traktataj kiel la komenco de nova sekcio dum renomado aŭ forigo de sekcio de agorda dosiero. En praktiko, anstataŭigo de ekspluataj valoroj povas esti atingita specifante tre longajn submodulajn URLojn, kiuj estas konservitaj al la $GIT_DIR/config-dosiero dum inicialigo. Ĉi tiuj URL-oj povas esti interpretitaj kiel novaj agordoj kiam oni provas forigi ilin per "git submodule deinit".
Vundebleco CVE-2023-25652 permesas anstataŭi la enhavon de dosieroj ekster la funkcianta arbo kiam speciale kreitaj flikaĵoj estas prilaboritaj per la komando "git apply --reject". Se vi provas efektivigi malican flikilon per la komando "git apply", kiu provas skribi al dosiero per simbola ligilo, la operacio estos malakceptita. En Git 2.39.1, simbolliga manipuladprotekto estis etendita por bloki diakilojn kiuj kreas simbolligojn kaj provas skribi tra ili. La esenco de la konsiderata vundebleco estas, ke Git ne konsideris, ke la uzanto povas ekzekuti la komandon "git apply -reject" por skribi la malakceptitajn partojn de la flikaĵo kiel dosierojn kun la etendo ".rej", kaj la atakanto povas. uzu ĉi tiun okazon por skribi la enhavon al arbitra dosierujo, tiom kiom la nunaj permesoj permesas ĝin.
Krome, tri vundeblecoj, kiuj aperas nur sur la Vindoza platformo, estis riparitaj: CVE-2023-29012 (serĉu la plenumeblan doskey.exe en la labordosierujo de la deponejo dum plenumado de la komando "Git CMD", kiu permesas organizi vin. la ekzekuto de via kodo en la sistemo de la uzanto), CVE-2023 -25815 (bufro superfluo dum prilaborado de kutimaj lokalizdosieroj en gettext) kaj CVE-2023-29011 (ebleco anstataŭigi la connect.exe dosieron kiam vi laboras per SOCKS5).
fonto: opennet.ru