Git 2.35.2 väljaanne, mis kõrvaldab haavatavusi

Avaldatud on Git'i 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ja 2.34.2 jaotused, milles on kõrvaldatud kaks haavatavust:

• CVE-2022-24765 — enamkasutatavates süsteemides, kus on jagatud kataloogid, on tuvastatud võimalus korraldada rünnak, mis viib muu kasutaja määratud käskude käivitamiseni. Ründaja võib luua katalooge „.git” kohtades, mis kattuvad teiste kasutajatega (nt jagatud kataloogides või ajutiste failide kataloogides) ja paigutada sinna konfiguratsioonifaili „.git/config”, mis seadistab käsuread, mis kutsutakse esile git käskude täitmisel (näiteks koodi käitamiseks võib kasutada parameetrit core.fsmonitor).

  „.git/config”s määratud töötlejad kutsutakse esile teise kasutaja õigustega, kui see kasutaja kasutab git'i kataloogis, mis asub ründaja loodud „.git” alamkataloogist kõrgemal. Kutsumine võib toimuda ka kaudselt, näiteks git'i toetavate koodiredaktorite, nagu VS Code ja Atom, kasutamisega või lisandmoodulite kasutamisega, mis käivitavad „git status” (näiteks Git Bash või posh-git). Git'i versioonis 2.35.2 on haavatavus blokeeritud „.git” otsimise loogika muutmise kaudu allpool asuvates kataloogides (kataloog „.git” ei arvestata enam, kui see kuulub teisele kasutajale).

• CVE-2022-24767 — Windowsi platvormile spetsiifiline haavatavus, mis võimaldab käitada koodi SYSTEM õigustes, kui käivitatakse Git for Windows'i eemaldamise (Uninstall) operatsioon. Probleem tuleneb sellest, et eemaldamisprogramm käivitub ajutises kataloogis, millele süsteemi kasutajad võivad kirjutada. Rünnak toimub, kui ajutises kataloogis paigutatakse asendavad DLL-id, mis laaditakse eemaldamisprogrammi käivitamisel SYSTEM õigustes.

Allikas: opennet.ru