Gitis avastati kriitiline haavatavus (CVE-2021-29468), mis avaldub ainult Cygwini keskkonna jaoks koostatud versioonides (teek Windowsis põhilise Linux API emuleerimiseks ning tüüpiliste Linuxi programmide komplekt Windowsi jaoks). Haavatavus võimaldab käivitada ründaja koodi andmete väljavõtmisel repostiitoriumist käsuga «git checkout», kui repositoorium on ründaja kontrolli all. Probleem on parandatud Cygwini paketis git 2.31.1-2. Git'i põhiprojektis ei ole viga veel parandatud (kuigi on vähetõenäoline, et keegi koostab Git'i Cygwini jaoks käsitsi ega kasuta valmispaketti).
Haavatavus on põhjustatud sellest, et Cygwini keskkonda käsitletakse Unixi-laadse süsteemina, mitte Windowsina, mistõttu puuduvad piirangud märgi ‘\’ kasutamisele failitees, kuigi Cygwinis, nagu ka Windowsis, saab seda märki kasutada kataloogide eraldajana. Selle tulemusel saab spetsiaalselt muudetud repositooriumi abil, mis sisaldab sümboolseid linke ja pöördkaldkriipsu sisaldavaid faile, saavutada suvaliste failide ülekirjutamise selle repositooriumi laadimisel Cygwinis (Git for Windowsis parandati sarnane haavatavus juba 2019. aastal). Kui ründaja saab failide ülekirjutamise võimaluse, võib ta muuta Git'i hook-kutseid ja saavutada süsteemis suvalise koodi käivitamise.
Allikas: opennet.ru
