{"id":103775,"date":"2022-04-13T03:37:00","date_gmt":"2022-04-13T01:37:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej"},"modified":"2022-04-13T03:37:00","modified_gmt":"2022-04-13T01:37:00","slug":"vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","title":{"rendered":"Git 2.35.2 v\u00e4ljaanne, mis k\u00f5rvaldab haavatavusi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Avaldatud on Git'i 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ja 2.34.2 jaotused, milles on k\u00f5rvaldatud kaks haavatavust: <\/p>\n
\n
CVE-2022-24765 \u2014 mitme kasutajaga s\u00fcsteemides, kus on jagatud kataloogid, on leitud r\u00fcnnaku v\u00f5imalus, mis v\u00f5imaldab k\u00e4ivitada muid kasutajaid defineeritud k\u00e4ske. R\u00fcndaja v\u00f5ib luua katalooge \u00ab.git\u00bb kohtades, mis kattuvad teiste kasutajatega (n\u00e4iteks jagatud kataloogides v\u00f5i ajutiste failide kataloogides) ja paigutada sinna konfiguratsioonifaili \u00ab.git\/config\u00bb seadistustega, mis kutsuvad esile teatud git k\u00e4skude t\u00e4itmise (n\u00e4iteks koodi t\u00e4itmise korraldamiseks v\u00f5ib kasutada parameetrit core.fsmonitor).\n
Kataloogis \u00ab.git\/config\u00bb m\u00e4\u00e4ratud t\u00f6\u00f6tlejad kutsutakse v\u00e4lja teise kasutaja \u00f5igustes, kui see kasutaja kasutab git'i kataloogis, mis asub r\u00fcndaja loodud \u00ab.git\u00bb all \u00fchel tasandil k\u00f5rgemal. Kutsumine v\u00f5ib toimuda ka kaudselt, n\u00e4iteks koodiredaktorite kaudu, mis toetavad git'i, nagu VS Code ja Atom, v\u00f5i lisandmoodulite abil, mis k\u00e4ivitavad \u00abgit status\u00bb (n\u00e4iteks Git Bash v\u00f5i posh-git). Git versioonis 2.35.2 on haavatavus blokeeritud \u00ab.git\u00bb otsimise loogika muutmise kaudu madalamates kataloogides (kataloog \u00ab.git\u00bb ei arvestata, kui see kuulub teisele kasutajale). <\/p>\n
CVE-2022-24767 \u2014 Windowsi platvormile spetsiifiline haavatavus, mis v\u00f5imaldab k\u00e4ivitada s\u00fcsteemi privileegidega koodi eemaldamise (Uninstall) operatsiooni k\u00e4ivitamisel programmis Git for Windows. Probleem tuleneb sellest, et eemaldamisprogramm k\u00e4ivitub ajutises kataloogis, mis on s\u00fcsteemi kasutajatele kirjutatav. R\u00fcnnakud toimuvad, paigutades asendavad DLL-id ajutisse kataloogi, mis laaditakse uninstaller'i k\u00e4ivitamisel s\u00fcsteemi \u00f5igustes. <\/ul>\n