Git-i haavat, mis ilmnevad submoodulite kloonimise ja git shelli kasutamise ajal

Välja on antud parandavad versioonid jaotatud lähtekoodi haldussüsteemile Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 ja 2.37.4, mis kõrvaldasid kaks haavatavust, mis ilmnevad käsu „git clone“ kasutamisel režiimis „—recurse-submodules“ mitteusaldusväärsete hoidlate puhul ja interaktiivse töörežiimi „git shell“ kasutamisel. Pakettide värskenduste jälgimist saab teha Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD lehtedel.

• CVE-2022-39253 — haavatavus võimaldab ründajal, kellel on kontroll kloonitava hoidla sisu üle, pääseda kasutaja süsteemis konfidentsiaalsetele andmetele, paigutades sümboolseid linke huvipakkuvatele failidele katalooge $GIT_DIR/objects kloonitava hoidla sees. Probleem ilmneb ainult kohaliku kloonimise korral (režiimis „—local“, mida kasutatakse, kui siht- ja allikandmed asuvad samas jaotises) või pahatahtliku hoidla kloonimisel, mis on pakitud submoodulina teises hoidlas (näiteks submoodulite rekursiivse kaasamise korral käsuga „git clone —recurse-submodules“).

  Haavatavus on põhjustatud sellest, et kloonimise režiimis „—local“ git kopeerib sisu $GIT_DIR/objects sihtkatalooge (loomaldes kõvasid linke või failide koopiaid), tehes sümboolsete linkide lahendamise (st sihtkatalooge kopeeritakse mitte sümboolsed lingid, vaid otseselt failid, millele lingid viitavad). Uutes git väljaannetes on selle haavatavuse ilmnemise blokeerimiseks keelatud kloonida hoidlaid režiimis „—local“, mis sisaldavad sümboolseid linke kataloogis $GIT_DIR/objects. Lisaks on parameetri protocol.file.allow vaikeväärtust muudetud väärtusele „user“, mis klassifitseerib file:// protokolli kasutades kloonimise tegevused ebaturvaliseks.

• CVE-2022-39260 — täisarvude ülevool funktsioonis split_cmdline(), mida kasutatakse käsus «git shell». Probleem võib olla kasutatav rünnakuks nende kasutajate vastu, kellel on «git shell» shellina sisse logimisel ja aktiivne interaktiivne režiim (loodud fail $HOME/git-shell-commands). Turvavea ärakasutamine võib viia suvalise koodi täitmiseni süsteemis, kui edastatakse spetsiaalselt vormindatud käsk, mille suurus on üle 2 GB.

Allikas: opennet.ru