{"id":103775,"date":"2022-04-13T03:37:00","date_gmt":"2022-04-13T01:37:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej"},"modified":"2022-04-13T03:37:00","modified_gmt":"2022-04-13T01:37:00","slug":"vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","title":{"rendered":"Lanzamiento de Git 2.35.2 con correcci\u00f3n de vulnerabilidades","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se han publicado versiones corregidas del sistema de control de versiones distribuido Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 y 2.34.2, en las que se corrigen dos vulnerabilidades: <\/p>\n
\n
CVE-2022-24765 \u2014 se ha identificado la posibilidad de llevar a cabo un ataque en sistemas multipersonales con directorios compartidos, lo que permite ejecutar comandos definidos por otros usuarios. Un atacante puede crear un directorio \u00ab.git\u00bb en ubicaciones que se cruzan con otros usuarios (por ejemplo, en directorios compartidos o en directorios de archivos temporales) y colocar en \u00e9l un archivo de configuraci\u00f3n \u00ab.git\/config\u00bb con configuraciones de manejadores que se activan al ejecutar determinados comandos git (por ejemplo, se puede usar el par\u00e1metro core.fsmonitor para ejecutar c\u00f3digo).\n
Los manejadores definidos en \u00ab.git\/config\u00bb se invocar\u00e1n con los privilegios de otro usuario si ese usuario utiliza git en un directorio que est\u00e1 un nivel por encima del subdirectorio \u00ab.git\u00bb creado por el atacante. Tambi\u00e9n puede ocurrir indirectamente, por ejemplo, al usar editores de c\u00f3digo que soportan git, como VS Code y Atom, o al utilizar extensiones que ejecutan \u00abgit status\u00bb (como Git Bash o posh-git). En la versi\u00f3n Git 2.35.2, la vulnerabilidad est\u00e1 bloqueada mediante cambios en la l\u00f3gica de b\u00fasqueda de \u00ab.git\u00bb en directorios subyacentes (el directorio \u00ab.git\u00bb ya no se considera si pertenece a otro usuario). <\/p>\n
CVE-2022-24767 \u2014 es una vulnerabilidad espec\u00edfica de la plataforma Windows que permite la ejecuci\u00f3n de c\u00f3digo con privilegios de SYSTEM al iniciar el proceso de desinstalaci\u00f3n (Uninstall) del programa Git for Windows. El problema es causado por el hecho de que el programa de desinstalaci\u00f3n se ejecuta en un directorio temporal que es writable por los usuarios del sistema. La ataque se lleva a cabo mediante la colocaci\u00f3n de DLLs de reemplazo en el directorio temporal, que se cargar\u00e1n al iniciar el desinstalador con privilegios de SYSTEM. <\/ul>\n