Git'i haavatavused, mis võimaldavad faile üle kirjutada või oma koodi käivitada

On välja antud Git 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 ja 2.30.9 korrigeeritud versioonid, milles on fikseeritud viis haavatavust. Pakettide värskenduste jälgimist jaotustes saab teha Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD lehtedel. Haavatavuste kaitseks soovitatakse vältida käsu „git apply —reject“ kasutamist usaldamatute väliste plaastritega töötamisel ning kontrollida sisu $GIT_DIR/config enne käskude „git submodule deinit“, „git config —rename-section“ ja „git config —remove-section“ käivitamist usaldamatute hoidlate puhul.

CVE-2023-29007 haavatavus võimaldab seadete asendamist failis $GIT_DIR/config, mida saab kasutada süsteemis koodi täitmise saavutamiseks, kui määrata teed täidetavate failide osas direktiivides core.pager, core.editor ja core.sshCommand. Haavatavus tuleneb loogilisest veast, mille tõttu liiga pikad konfigureerimisarvud võivad töötluse käigus tõlgendada uue sektsiooni algusena, kui teostatakse sektsiooni nimetuse muutmise või eemaldamise operatsioone konfiguratsioonifailis. Praktiliselt saab haavatavusest tulenevat asendamist saavutada, määrates väga pikad submodule URL-id, mis salvestatakse faili $GIT_DIR/config initsialiseerimise ajal. Need URL-id võivad tõlgendada kui uusi seadeid, kui proovida neid eemaldada käsuga "git submodule deinit."

CVE-2023-25652 haavatavus võimaldab kirjutada faile tööpuu väljapoole, kui kasutada käsku "git apply --reject" spetsiaalselt koostatud plaastritega. Kui proovida käivitada käsku "git apply" pahatahtliku plaastri puhul, mis üritab kirjutada faili sümboolse lingi kaudu, lükatakse operatsioon tagasi. Git 2.39.1-s on sümboolsete linkide manipuleerimise kaitse täiustatud plaastrite blokeerimisega, mis loovad sümboolseid linke ja üritavad nende kaudu kirjutada. Arutletava haavatavuse olemus seisneb selles, et Git ei arvestanud, et kasutaja võib käivitada käsu "git apply --reject", et salvestada pädevate piirkondade tagasi lükatud osad failidena, millel on laiend " .rej", ning ründaja võib seda võimalust kasutada, et kirjutada sisu suvalisse katalooge, kui sellele lubatud on vastavad juurdepääsuõigused.

Lisaks on kõrvaldatud kolm haavatavust, mis ilmnevad ainult Windowsi platvormil: CVE-2023-29012 (doskey.exe käivitatava faili otsimine hoidlas, kui käivitatakse käsk "Git CMD", mis võimaldab käitaja koodi kasutaja süsteemis), CVE-2023-25815 (puhvri ületamine spetsiaalselt vormindatud lokaliseerimisfailide töötlemisel gettextis) ja CVE-2023-29011 (connect.exe faili asendamise võimalus SOCKS5 kaudu töötades).

Allikas: opennet.ru