Git'i haavatavused, mis võimaldavad faile üle kirjutada või oma koodi käivitada

Avalikustati Git'i hajutatud lähtekoodi haldamise süsteemi versioonid 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 ja 2.30.9, milles kõrvaldatakse viis haavatavust. Uuenduste jälgimiseks pakettide jaoks jaotustes vaata Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD lehti. Haavatavuste kaitse möödaviimiseks soovitatakse vältida käsu „git apply —reject” täitmist, kui töötad usaldusväärsete välistudengitega ja kontrollida sisu $GIT_DIR/config enne „git submodule deinit”, „git config —rename-section” ja „git config —remove-section” käskude käivitamist usaldamatutes repodes.

CVE-2023-29007 haavatavus võimaldab sisestada seadeid faili $GIT_DIR/config, mida saab kasutada süsteemi koodi täitmiseks, määrates täideviivate failide teed core.pager, core.editor ja core.sshCommand direktiivides. Haavatavus on põhjustatud loogilisest veast, mille tõttu võivad väga pikad konfiguratsiooni väärtused sinu uue sektsiooni alguseks tuvastada, kui failist sektsioonide ümbernimetamise või eemaldamise toimingute käigus. Praktikas saab rikutud väärtusi saavutada, määrates väga pikad alammoduli URL-id, mis salvestatakse faili $GIT_DIR/config selle algatamise ajal. Need URL-id võivad konfigureeritud säätete eemaldamise katse korral tõlgendada kui uusi seadeid, kui proovida neid eemaldada käsuga „git submodule deinit”.

CVE-2023-25652 haavatavus võimaldab kirjutada failide sisu väljaspool tööpuud, kui käivitad käsu „git apply —reject” korralikult vormindatud patch-file'ide töötlemisel. Kui üritad teha käsku „git apply” kahjulikule patch-file'ile, mis püüab kirjutada faili läbi sümboolse lingi, siis see operatsioon lükatakse tagasi. Git 2.39.1-s täiustati kaitset sümboolsete linkide manipuleerimise vastu, lukustades kõik patch-file'id, mis loovad sümboolseid linke ja püüavad läbi nende kirjutada. Antud haavatavuse olemus seisneb selles, et Git ei arvestanud, et kasutaja võib käivitada käsu „git apply —reject”, et kirjutada tagasi lükatud patch-file'i osad failidesse, millel on laiend „.rej”, ja ründaja võib seda võimalust ära kasutada, et kirjutada sisu mis tahes katalooge, kui see on praeguste õigustega lubatud.

Lisaks on kõrvaldatud kolm haavatavust, mis ilmnevad ainult Windowsi platvormil: CVE-2023-29012 (doskey.exe käideldava faili otsimine reposti töökaustas, kui käivitatakse „Git CMD“ käsk, mis võimaldab kasutaja süsteemis oma koodi käitada), CVE-2023-25815 (puudulik bufri täitmine spetsiifiliselt vormindatud lokaliseerimisfailide töötlemisel gettextis) ja CVE-2023-29011 (connect.exe faili asendamise võimalus SOCKS5 kaudu töötamisel).

Allikas: opennet.ru