Git 2.35.2 väljalaskmine haavatavuste parandamisega

Avaldasid paranduste versioonid jaotatud lähtekoodi haldamise süsteemist Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ja 2.34.2, milles on kõrvaldatud kaks haavatavust:

• CVE-2022-24765 — mitme kasutajaga süsteemides, kus jagatakse kaustu, on avastatud võimalus korraldada rünnak, mis võimaldab käivitada teiste kasutajate määratud käske. Ründaja võib luua kausta „.git” kohtades, mis kattuvad teiste kasutajatega (näiteks jagatud kaustades või ajutiste failide kaustades) ja paigutada sinna konfigureerimisfaili „.git/config”, kus on seadistatud käsitlesed, mida käivitatakse teatud git-käskude täitmisel (näiteks koodi täitmise korraldamiseks võib kasutada parameetrit core.fsmonitor).

  Asetused, mis on määratud failis «.git/config», kutsutakse välja teise kasutaja õigustes, kui see kasutaja kasutab git'i kaustas, mis asub tasemel kõrgemal kui ründaja loodud alamkaust «.git». Selle hulka kuulub ka kaudne väljakutse, näiteks koodiredaktorite kasutamine, mis toetavad git'i, nagu VS Code ja Atom, või laienduste rakendamine, mis käivitavad «git status» (nt Git Bash või posh-git). Git versioonis 2.35.2 on haavatavus blokeeritud, muutes altpoolt kaustade otsimise loogikat, nii et kaust «.git» ei arvestata, kui see kuulub teisele kasutajale.

• CVE-2022-24767 — Windowsi platvormile spetsiifiline haavatavus, mis võimaldab käivitada koodi SYSTEM-i õigustes Git for Windows'i uninstall'i operatsiooni käivitamisel. Probleem tuleneb sellest, et uninstall'i programm käivitatakse ajutises kaustas, mis on süsteemi kasutajatele kirjutamiseks avatud. Rünnak toimub asendavate DLL-ide paigutamise kaudu ajutisse kausta, mis laaditakse süsteemi õigustes uninstall'i käivitamisel.

Allikas: opennet.ru