Git'i värskendus, mis kõrvaldab 8 haavatavust

Avaldatud korrektsiooniväljaanded hajutatud allikahaldussüsteemist Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 ja 2.14.6, kus on kõrvaldatud haavatavused, mis võimaldavad ründajal kirjutada suvalisi teid failisüsteemis, korraldada kaugkoodi täitmist või kirjutada üle faile kaustas «.git/». Enamik probleeme avastasid
Microsoft Security Response Center, viis kaheksast haavatavusest on spetsiifilised Windowsi platvormile.

• CVE-2019-1348 — voogedastamise käsk «feature export-marks=path»kaugelt sulgeda vahekaarte, mis on avatud teistel seadmetel. mis võimaldas kirjutada märke suvalistesse kaustadesse, mida võidi kasutada suvaliste teede kirjutamiseks FSi, kui tehti «git fast-import» operatsiooni kontrolimata sisendiga.
• CVE-2019-1350 — vale argumentide käsurea põgenemine võis viia ründaja koodi kaugkäivitamiseni rekursiivse kloonimise korral, kasutades ssh:// URL-i. Eelkõige töötles vale argumentide põgenemine, mis lõppes tagurpidi kaldkriipsuga (nt «test \»). Sellisel juhul, kui argument on ümbritsetud topelt jutumarkidega, tähendas viimane jutumärk, et see oli põgenenud, mis lubas ründajal enda valikute asendamise käsureale.
• CVE-2019-1349 — rekursiivse kloonimise alusel alamkomplektide osas («clone —recurse-submodules») Windowsi keskkonnas teatud tingimustel võidi algatada ühte git-kausta kaks korda (.git, git~1, git~2 ja git~N NTFS-is määratakse ühe kaustana, kuid seda olukorda kontrolliti ainult git~1 puhul), mida saadi kasutada kirjutamiseks kausta «.git». Ründaja võib näiteks sisestada oma skripti post-checkouti käitleja kaudu failis .git/config, et korraldada oma koodi täitmist.
• CVE-2019-1351 — Windowsi teede käsitlemise tähestikuliste draivi nimede töötleja, mis haldab teid nagu «C:\», oli mõeldud ainult ühetäheline ladina identifikaatorite asendamiseks, kuid ei arvestanud virtuaalsete kõvaketaste loomise võimalust, mida määratakse "subst tähe:tee" kaudu. Selliseid teid käsitleti mitte kui absoluutseid, vaid kui suhtelisi teid, võimaldades pahatahtliku reposte kloonimise korral kirjutada mis tahes katalooge töötavate kataloogide puust väljas (näiteks numbrite või unicode-märkide kasutamise korral draivi nimes — «1:\what\the\hex.txt» või «ä:\tschibät.sch»).
• CVE-2019-1352 — Windowsi platvormil kasutatakse alternatiivseid andmevooge NTFS-is, mis on loodud, lisades failinime juurde märgise «:stream-name:stream-type». võimaldas kirjutada faile katalooge «.git/» pahatahtliku reposte kloonimise ajal. Näiteks NTFS-is töötles nime «.git::$INDEX_ALLOCATION» korrektse viitena kataloogile «.git».
• CVE-2019-1353 — Git-i kasutamisel WSL (Windows Subsystem for Linux) keskkonnas töötava katalooge ei rakendatud NTFS-i nimede manipuleerimise kaitset (FAT-nimede tõlke kaudu suudeti rünnata, näiteks, «.git» oli võimalik juurdepääseda läbi katalooge «git~1»).
• CVE-2019-1354 —
  võimaluse Windowsi platvormil katalooge «.git/» kirjutamine pahatahtlike reposte kloonimise ajal, mis sisaldavad faile tagurpidi kaldkriipsuga nime (näiteks «a\b»), mis on lubatud Unix/Linuxis, kuid Windowsis tõlgendatakse teena.
• CVE-2019-1387 — alamsubmodulite nimede ebapiisav kontroll võis olla suunatud rünnakute korral, mis potentsiaalselt võisid viia ründaja koodi täitmiseni. Git ei keelanud alamsubmoduli katalooge luua teise alamsubmoduli kataloogis, mis enamus juhtudel põhjustab lihtsalt segadust, kuid potentsiaalselt ei välista, et teise mooduli sisu ülekirjutatakse rekursiivse kloonimise käigus (näiteks alamsubmoduli kataloogid «hippo» ja «hippo/hooks» asuvad vastavalt «.git/modules/hippo/» ja «.git/modules/hippo/hooks/», ja «hooks» katalooge hippos saab eraldi kasutada käivitatavate töötlemiseks).

Windowsi kasutajatel soovitatakse neil kiiresti värskendada Git versiooni ning enne värskendust hoiduda kontrollimata hoidlate kloonimisest. Kui värskendamine ei ole kohe võimalik, siis rünnakuriskide vähendamiseks ei tohi käivitada "git clone --recurse-submodules" ja "git submodule update" kontrollimata hoidlatest, samuti mitte kasutada "git fast-import" kontrollimata sisendvoogude jaoks ning mitte kloonida hoidlaid NTFS-põhistele sektsioonidele.

Lisakaitseks on uutes versioonides keelatud .gitmodules failis kasutada konstruktsioone vormis "submodule.{name}.update=!command". Pakettide uuenduste väljaandete jälgimiseks saab kasutada lehti. Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Allikas: opennet.ru