Git'i nõrkused, mis ilmnevad alamsubmodulite kloonimise ja git shelli kasutamise korral

On avaldatud parandatud väljaanded hajutatud lähtekoodihalduse süsteemist Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 ja 2.37.4, milles on eemaldatud kaks nõrkust, mis ilmnevad käsku ‘git clone’ kasutades, kui kasutatakse ‘--recurse-submodules’ režiimi usaldamatute hoidlate puhul, ja interaktiivset git shelli. Pakettide uuenduste jälgimine jaotustes on võimalik Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD lehtedel.

• CVE-2022-39253 — haavatavus võimaldab ründajal, kes kontrollib kloonitava repositori sisu, pääseda kasutaja süsteemis konfidentsiaalsetele andmetele, luues kloonitava repositori $GIT_DIR/objects katalooge sümboolseid linke huvipakkuvatele failidele. Probleem ilmneb ainult kohaliku kloonimise korral (—local režiimis, mis kehtib siis, kui kloonimise siht- ja allikandmed asuvad samas jaotises) või pahatahtliku repositori kloonimisel, mis on pakendatud teise repositori alamkomponendina (näiteks alamkomponentide rekursiivsel kaasamisel käsuga «git clone —recurse-submodules»).

  Viga tuleneb sellest, et kloonimisrežiimis „—local” kannab git sisu $GIT_DIR/objects sihtkausta (loob kõvasid linke või koopiaid faile), tehes sümboolsete linkide ümberlülitust (st lõppkokkuvõttes kopeeritakse sihtkausta mitte sümboolsed lingid, vaid otsefailid, milleni lingid viitavad). Selle haavatavuse ilmsiks tuleku vältimiseks on git-i uutest versioonidest keelatud kloonida „—local” režiimis hoidvaid hoidlaid, millel on sümboolsed lingid $GIT_DIR/objects kaustas. Lisaks on parameetri protocol.file.allow vaikeväärtus muudetud „user”-iks, mis kvalifitseerib file:// protokolli kasutamisel kloonimise ebaturvaliseks.

• CVE-2022-39260 — täisarvu ülevool split_cmdline() funktsioonis, mida kasutatakse käsus „git shell”. Probleemi saab kasutada rünnakuks kasutajatele, kellel „git shell” on sisselogimisel kasutatav shell ja interaktiivne töörežiim on sisse lülitatud (loodud fail $HOME/git-shell-commands). Haavatavuse ärakasutamine võib viia süsteemis mingi juhusliku koodi täitmiseni, kui edastada spetsiaalselt vormindatud käsk, mille suurus on üle 2 GB.

Allikas: opennet.ru