Avaldatud on hajutatud allika juhtimissüsteemi Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ja 2.34.2 parandusväljaanded, mis parandavad kaks turvaauku:
- CVE-2022-24765 – jagatud kataloogidega mitme kasutajaga süsteemides on tuvastatud rünnak, mis võib viia teise kasutaja määratud käskude täitmiseni. Ründaja saab luua .git kataloogi kohtades, mis kattuvad teiste kasutajatega (näiteks jagatud kataloogides või ajutiste failidega kataloogides) ja paigutada sinna konfiguratsioonifaili .git/config koos käitlejate konfiguratsiooniga, mida kutsutakse välja, kui teatud ülesanded täidetakse.git käsud (näiteks saate koodi täitmise korraldamiseks kasutada parameetrit core.fsmonitor).
Dokumendis „.git/config” määratletud töötlejaid kutsutakse välja teise kasutaja õigustega, kui see kasutaja kasutab giti kataloogis, mis asub ründaja loodud alamkataloogist „.git” kõrgemal tasemel. Kõne saab teha ka kaudselt, näiteks kui kasutate giti toetavaid koodiredaktoreid, nagu VS Code ja Atom, või kui kasutate lisandmooduleid, mis käitavad “git staatust” (näiteks Git Bash või posh-git). Git 2.35.2-s blokeeriti haavatavus, kuna muudeti loogikast .git'i otsimise aluseks olevatest kataloogidest (".git" kataloogi ei võeta nüüd arvesse, kui see kuulub teisele kasutajale).
- CVE-2022-24767 on Windowsi platvormispetsiifiline haavatavus, mis võimaldab programmi Git for Windows desinstallimistoimingu käitamisel SÜSTEEMI õigustega koodi käivitada. Probleemi põhjustab asjaolu, et desinstaller töötab ajutises kataloogis, kuhu süsteemi kasutajad saavad kirjutada. Rünnak viiakse läbi asendus-DLL-ide paigutamisega ajutisse kataloogi, mis laaditakse desinstalliprogrammi käivitamisel SÜSTEEMI õigustega.
Allikas: opennet.ru