Git värskendamine 8 haavatavuse parandamisega

Avaldatud korrektsiooniväljastused hajutatud versioonikontrollisüsteemis Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 ja 2.14.6, kus on kõrvaldatud haavatavused, mis võimaldavad ründajal kirjutada üle juhuslikud teed failisüsteemis, korraldada kaugkoodi käivitamist või kirjutada faile katalooge «.git/». Enamik probleeme avastasid töötajad
Microsoft Security Response Center, viis kaheksast haavatavusest on spetsiifilised Windowsi platvormile.

• CVE-2019-1348 — voogedastamise käsk «feature export-marks=path»lubab kirjutada sildid juhuslikesse kataloogidesse, mida saab kasutada juhuslike teede ülekirjutamiseks failisüsteemis, kui teostatakse „git fast-import” operatsiooni mitteusaldusväärsete sisenditega.
• CVE-2019-1350 — vale argumentide põgenes command line-is võis viia ründades rünnakute koodide kaugteostamisele, kui kasutada korda koopiate loomist URL-iga ssh://. Eelkõige ei töödeldud õigesti argumentide, mis lõppevad tagurpidi kaldkriipsuga (näiteks «test \»), escapingut. Sel juhul, kui argument oli ümbritsetud kahekordse jutumärgiga, jäi viimane jutumärk escapingut, mis võimaldas asendada oma valikutes käsureal.
• CVE-2019-1349 — submodulite rekursiivse kloonimise (»clone —recurse-submodules«) käigus Windowsi keskkonnas teatud tingimustel oli võimalik algatada ühe git-katalooge kahel korral (.git, git~1, git~2 ja git~N NTFS-is tuvastatakse ühe kataloogina, kuid seda olukorda kontrolliti ainult git~1 jaoks), mis võis võimaldada kirjutamist katalooge «.git». Kaugteostamise teostamiseks võis ründaja näiteks asendada oma skripti post-checkouti töötlejas failis .git/config.
• CVE-2019-1351 — kettakäitleja, mille eesmärk on töödelda Windowsi teede klassikalisi tähestiklike nimede kujundeid nagu „C:\“, oli projekteeritud ainult ühe tähega ladina identifikaatorite asendamiseks, kuid ei arvestanud virtuaalsete diskide loomise võimalust, mis määratakse läbi „subst täht:tee“. Selliseid teid tõlgendati mitte kui absoluutseid, vaid kui suhtelisi teid, mis võimaldasid halba taustsüsteemi kloonimise korral korraldada kirjutamist meelevaldsetesse kataloogidesse väljaspool tööpuu kataloogide struktuuri (näiteks numbrite või unicode-märkide kasutamine ketta nimedes — „1:\what\the\hex.txt“ või „ä:\tschibät.sch“).
• CVE-2019-1352 — Windowsi platvormil töötamisel, NTFS-is loodud alternatiivsete andmevoogude kasutamine, mis lisatakse faili nimele, lisades atribuudi „:stream-name:stream-type“ võimaldas küll aga üle kirjutada failid kataloogis „.git/“ kloonimise käigus halva taustsüsteemi kloonimise puhul. Näiteks NTFS-is tõlgendati nime „.git::$INDEX_ALLOCATION“ korrektse viitena kataloogile „.git“.
• CVE-2019-1353 — Git'i kasutamisel WSL (Windows Subsystem for Linux) keskkonnas, kui pöörduda töökausta poole ei rakendatud nimede manipuleerimise kaitse NTFS-is (rünnakud nimeülekande kaudu FAT-i kaudu olid võimalikud, näiteks, "git" katalooge sai ligi pääseda katalooge kaudu "git~1").
• CVE-2019-1354 —
  võimalus ".git/" katalooge Windowsis kurjauslikest hoidlest kloonimisel, mis sisaldavad faile, mille nimi sisaldab tagasiviidatud kaldteed (näiteks, "a\b"), mis on lubatav Unix/Linux-is, kuid mõistetakse Windowsis teena.
• CVE-2019-1387 — ebapiisav submoodulite nime kontrollimine võis olla kasutatud sihitud rünnakute korraldamiseks, mis potentsiaalselt rekursiivse kloonimise käigus võis viia rünnakute koodi täitmiseni. Git ei keelanud mooduli katalooge submooduli kataloogides loomast, mis enamikul juhtudel võib põhjustada segadust, kuid ei välista potentsiaalselt teise mooduli sisu üle kirjutamist rekursiivse kloonimise käigus (näiteks, submooduli kataloogid "hippo" ja "hippo/hooks" asuvad vastavalt "git/modules/hippo/" ja "git/modules/hippo/hooks/", ning "hooks" katalooge hippo's võib eraldi kasutada käivitatavate käitlejate hoidmiseks.

Windowsi kasutajatele soovitatakse kiiresti uuendada Git versiooni ning enne uuendamist vältida kontrollimata repositooriumide kloonimist. Kui Git'i versiooni kiiret uuendamist pole võimalik teha, siis soovitatakse rünnakute riski vähendamiseks mitte käivitada "git clone --recurse-submodules" ja "git submodule update" kontrollimata repositooriumitega, mitte kasutada "git fast-import" kontrollimata sisendvoogudega ning mitte kloonida repositooriume NTFS-põhistele ketastele.

Uutes väljaannetes on täiendava kaitse nimel keelatud kasutada .gitmodules failis konstruktsioone vormis "submodule.{name}.update=!command". Pakettide uuenduste väljalaskmise jälgimiseks saab vaadata lehelt Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Allikas: opennet.ru