Se ha detectado una vulnerabilidad crítica en Git (CVE-2021-29468), que se manifiesta solo al compilar para el entorno Cygwin (una biblioteca para emular la API básica de Linux en Windows y un conjunto de programas linux estándar para Windows). La vulnerabilidad permite la ejecución de código malicioso al extraer datos (‘git checkout’) de un repositorio controlado por el atacante. El problema ha sido corregido en el paquete git 2.31.1-2 para Cygwin. En el proyecto principal de Git, el problema aún no ha sido solucionado (es poco probable que alguien compile Git manualmente para Cygwin en lugar de usar un paquete precompilado).
La vulnerabilidad se debe al tratamiento del entorno Cygwin como un sistema similar a Unix en lugar de Windows, lo que lleva a la falta de restricciones sobre el uso del carácter ‘\’ en la ruta, mientras que en Cygwin, al igual que en Windows, este carácter se puede utilizar para separar directorios. Como resultado, mediante la creación de un repositorio modificado que contenga enlaces simbólicos y archivos con el símbolo de barra invertida, se puede lograr la sobrescritura de archivos arbitrarios al cargar dicho repositorio en Cygwin (una vulnerabilidad similar en Git para Windows fue corregida en 2019). Al obtener la capacidad de sobrescribir archivos, un atacante puede anular las llamadas a hooks en Git y conseguir la ejecución de código arbitrario en el sistema.
Fuente: opennet.ru
