Git-i haavatavused, mis võivad põhjustada andmete leket ja üle kirjutamise

Avaldatud on korrektsiooniversioonid hajutatud lähtekoodi haldamise süsteemist Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 ja 2.30.8, milles on kõrvaldatud kaks haavatavust, mis mõjutavad optimeerimist kohaliku kloonimise ja käsu „git apply” käitamisel. Pakettide värskenduste vabastuste jälgimine distributsioonidesse on võimalik lehtedel Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Kui värskenduse installimine ei ole võimalik, soovitatakse ringlahendusena vältida käsu „git clone” kasutamist valikuga „—recurse-submodules” ebausaldusväärsetest repodega ja samuti mitte kasutada käske „git apply” ja „git am” kontrollimata koodiga.

• Haavatavus CVE-2023-22490 võimaldab ründajal, kes kontrollib kloonitava repode sisu, pääseda ligi kasutaja süsteemis konfidentsiaalsetele andmetele. Haavatavuse tekkimist soodustavad kaks puudujääki:

  Esimene puudujääk võimaldab spetsiaalselt kujundatud repoga töötamisel saavutada kohalike kloonimise optimeerimiste rakendamist isegi väliste süsteemidega suhtlemiseks mõeldud transpordi kasutamisel.

  Teine puudujääk lubab sümboolse lingi paigutamist katalooge $GIT_DIR/objects asemel, sarnaselt haavatavusele CVE-2022-39253, mille parandamisel takistati sümboolsete linkide paigutamist katalooge $GIT_DIR/objects, kuid ei kontrollitud, et $GIT_DIR/objects kataloog ise võiks olla sümboolne link.

  Kohaliku kloonimise režiimis viib git $GIT_DIR/objects sihtkatalooge, tehes sümboolsete linkide tühistamise, mis toob kaasa selle, et sihtkatalooge kopeeritakse otse lingitud failid, kuhu viitavad lingid. Kohalike kloonimise optimeerimiste rakendamine mitte-kohaliku transpordi puhul võimaldab haavatavust kasutada, kui töötatakse väliste repodega (näiteks käsu „git clone —recurse-submodules” rekursiivne käitamine võib viia pahatahtliku repo kloonimise, mis on pakitud submodulina teises repos).

• Haavatavus CVE-2023-23946 võimaldab kirjutada faile, mis asuvad väljaspool töökausta, edastades spetsiaalselt vormindatud sisendi käsule „git apply“. Näiteks võib rünnak toimuda, kui „git apply“ töötleb pahatahtliku poolt ettevalmistatud plaastrit. Plaastrite loomise blokeerimiseks väljaspool töökoopiaid takistab „git apply“ nende töötlemist, kui need püüavad kasutada sümboolseid 링크. Kuid seda kaitset on võimalik kõrvalekalduda, luues sümboolse lingi esmakordselt.

Allikas: opennet.ru