Kaks haavatavust Git'is, mis võivad viia kaugkäitamiseni

Avaldatud on Git'i hajutatud allikakontrollisüsteemi tugiversioonid 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 ja 2.30.7, milles on kõrvaldatud kaks haavatavust, mis võimaldavad käitada oma koodi kasutaja süsteemis, kui kasutada käsku 'git archive' ja töötada usaldamatute väliste hoidlate kallal. Haavatavused tulenevad vigadest kommiti vormindamise koodis ja failide '.gitattributes' analüüsimises, mis võivad mõjutada mälus asuvat kuplit ning lugeda juhuslikke andmeid mälust.

Mõlemad haavatavused tuvastati Git'i koodibaasi turbeauditi käigus, mille viis läbi X41 ettevõte OSTIF (Open Source Technology Improvement Fund) tellimusel, mille eesmärk on avatud projektide kaitse tugevdamine. Lisaks kahele allpool käsitletavale kriitilisele probleemile tuvastati auditi käigus ka üks ohtlik haavatavus, üks mõõdukalt ohtlik haavatavus ja neli mitteohtlikku probleemi. Samuti tehti 27 soovitust koodibaasi turvalisuse parandamiseks.

• CVE-2022-41903: täisarvu ülevool, mis ilmneb kommittiteabe vormindamise koodis, kui töödeldakse suuri nihkeväärtusi täitevate operaatorite, nagu '%<(«', '%(«', '%>>(« ja '%><( )». Täisarvu ülevool esineb funktsioonis format_and_pad_commit() int tüüpi kasutamise tõttu size_t muutuja jaoks, mis osaleb memcpy() kutsumisel koopiatava ploki nihke suuruse määramisel.

  Haavatavus ilmneb nii otsese kutse korral spetsiaalselt kujundatud vormindamisparameetritega (näiteks käivitades 'git log --format=…'), kui ka kaudse vormindamise rakendamise korral käsku 'git archive' täide viiva hoidla, mis on ründaja kontrolli all. Teisel juhul määratakse vormindamismodifikaatorid parameetri export-subst kaudu failis '.gitattributes', mille ründaja saab oma hoidlas paigutada. Probleem võib kasutada juhuslike mälupiirkondade lugemiseks ja kirjutamiseks, mis viib pahatahtliku koodi käivitamiseni usaldamatute hoidlate kallal.
• CVE-2022-23521: täisarvude ületamised failide „.gitattributes” sisu analüüsimisel, mis ilmnevad, kui töödelda väga suurt arvu failiteemade malli või suure hulga atribuute ühe malli puhul, samuti väga suurte atribuutide nimede analüüsimisel. Probleemi saab kasutada juhuslike mälualade lugemiseks ja kirjutamiseks ning see võib viia pahatahtliku koodi täitmisele töötamisel kontrollimata registriga, kus ründaja saab paigutada spetsiaalselt vormistatud faili .gitattributes ja tagada selle sisenemise indeksisse.

Pakettide värskenduste avaldamist jaotustes saab jälgida järgmiste lehtede kaudu: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. Rünnaku ohu vähendamiseks, kui värskendust ei saa õigeaegselt installida, soovitatakse hoiduda usaldamatutest registritest ja „git archive” käsu kasutamisest. On oluline meeles pidada, et „git archive” käsk võib töötada ka kaudselt, näiteks git daemon'i kaudu. „Git archive” käivitamise keelamiseks git daemon'is tuleb muuta seadistust daemon.uploadArch käsuga „git config —global daemon.uploadArch false”.

Lisaks võib välja tuua veel ühe haavatavuse (CVE-2022-41953) tootes Git for Windows, mis võimaldab koodi täitmist usaldamatute väliste registrite kloonimisel graafilise liidese kaudu. Probleem tuleneb sellest, et Git GUI Windows jaoks käivitab automaatselt teatud post-protsessimise käsud, nagu õigekirjakontrolli programm spell-check, pärast „checkout” operatsiooni, kuna failide otsinguteed spell-check'ile hõlmavad ka kloonitud tööpuu (rünnak piirdub spell-check'i lisamisega registri tööpuusse).

Allikas: opennet.ru