{"id":106404,"date":"2023-01-19T06:48:10","date_gmt":"2023-01-19T04:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=106404"},"modified":"2023-01-19T14:02:40","modified_gmt":"2023-01-19T12:02:40","slug":"dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","title":{"rendered":"Kaks haavatavust Git'is, mis v\u00f5ivad viia kaugk\u00e4itamiseni","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
On v\u00e4lja antud korrektsiooniv\u00e4ljaanded hajusalt hallatava l\u00e4htekoodihalduse s\u00fcsteemi Git versioonidest 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 ja 2.30.7, milles on k\u00f5rvaldatud kaks haavatavust, mis v\u00f5imaldavad k\u00e4ivitada oma koodi kasutaja s\u00fcsteemis k\u00e4su «git archive» kasutamisel ja t\u00f6\u00f6tamisel usaldusv\u00e4\u00e4rsete v\u00e4liste hoidlate puhul. Haavatavused tekivad commit-koodeksite vormindamise ja failide «.gitattributes» anal\u00fc\u00fcsi vigadest, mis v\u00f5ivad v\u00e4liste hoidlate t\u00f6\u00f6tlemisel p\u00f5hjustada m\u00e4lu \u00fcleskirjutamist hunniku v\u00e4ljapoole ja suvaliste andmete lugemist m\u00e4lust. <\/p>\n
M\u00f5lemad haavatavused tuvastati Git'i koodibaasi turbeauditi k\u00e4igus, mille viis l\u00e4bi X41 ettev\u00f5te OSTIF (Open Source Technology Improvement Fund) tellimusel, mille eesm\u00e4rk on avatud projektide kaitse tugevdamine. Lisaks kahele allpool k\u00e4sitletavale kriitilisele probleemile tuvastati auditi k\u00e4igus ka \u00fcks ohtlik haavatavus, \u00fcks m\u00f5\u00f5dukalt ohtlik haavatavus ja neli mitteohtlikku probleemi. Samuti tehti 27 soovitust koodibaasi turvalisuse parandamiseks. <\/p>\n
\n
CVE-2022-41903: t\u00e4isarvu \u00fclevoolu probleem commit-teabe vormindamise koodis, mis tekib suurte nihkev\u00e4\u00e4rtuste t\u00f6\u00f6tlemisel t\u00e4itmisoperaatorites, nagu «%<(«, «%<|(«, «%>(«, «%>>(» ja «%><()». T\u00e4isarvu \u00fclevool tekib funktsioonis format_and_pad_commit() int t\u00fc\u00fcbi kasutamise t\u00f5ttu size_t muutuja jaoks, mis osaleb memcpy() v\u00e4ljakutses koopia ploki m\u00f5\u00f5tme m\u00e4\u00e4ramisel.\n
Haavatavus avaldub nii otsesel v\u00e4ljakutsumisel spetsiaalselt vormindatud vormistusparameetritega (n\u00e4iteks k\u00e4su k\u00e4ivitamine «git log --format=…») kui ka kaudse rakendamise vormindamine k\u00e4su «git archive» ajal r\u00fcnnake kontrollitavas hoidlas. Teisel juhul m\u00e4\u00e4ratakse vormindamise modifikaatorid \u00fcle eksportimisparameetri export-subst failis «.gitattributes», mille r\u00fcndaja v\u00f5ib paigutada oma hoidlasse. Probleemi saab kasutada suvaliste m\u00e4lualandite lugemiseks ja kirjutamiseks ning see v\u00f5ib viia pahatahtliku koodi k\u00e4ivitamiseni usaldusv\u00e4\u00e4rsete hoidlate puhul. <\/p>\n
CVE-2022-23521: t\u00e4isarvu \u00fclevoolud failide «.gitattributes» sisu anal\u00fc\u00fcsimisel hoidlas, mis ilmnevad v\u00e4ga suure arvu failitee mallide v\u00f5i paljude atribuutide t\u00f6\u00f6tlemisel \u00fche malli puhul, samuti v\u00e4ga suurte atribuutide nimede anal\u00fc\u00fcsimisel. Probleemi saab kasutada suvaliste m\u00e4lualandite lugemiseks ja kirjutamiseks ning see v\u00f5ib viia pahatahtliku koodi k\u00e4ivitamiseni usaldusv\u00e4\u00e4rses hoidlas, kus r\u00fcndaja v\u00f5ib paigutada spetsiaalselt vormindatud faili .gitattributes ja tagada selle indekseerimise. <\/ul>\n
Pakettide v\u00e4rskenduste avaldamist distributsioonides saab j\u00e4lgida lehtedel: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. R\u00fcndeohtude v\u00e4hendamiseks, kui uuenduste \u00f5igeaegne installimine pole v\u00f5imalik, soovitatakse hoiduda ebausaldusv\u00e4\u00e4rsete hoidlate kasutamisest ja k\u00e4sklusest «git archive». Oluline on meeles pidada, et k\u00e4sklus «git archive» v\u00f5ib k\u00e4ivituda kaudselt, n\u00e4iteks git daemon'i kaudu. «git archive» k\u00e4ivitamise keelamiseks git daemon'is tuleks muuta parameetrit daemon.uploadArch k\u00e4sklusega «git config —global daemon.uploadArch false». <\/p>\n
Lisaks v\u00f5ib m\u00e4rkida veel \u00fche haavatavuse (CVE-2022-41953) tootes Git for Windows, mis v\u00f5imaldab koodi k\u00e4ivitamist kahtlaste v\u00e4liste hoidlate kaudu kloneerimise k\u00e4igus kasutades graafilist kasutajaliidest. Probleem tuleneb sellest, et Git GUI Windowsi jaoks k\u00e4ivitab automaatselt p\u00e4rast «checkout» operatsiooni teatud postit\u00f6\u00f6tluskommandod, nagu n\u00e4iteks \u00f5igekirjakontrolli programm, samal ajal kui \u00f5igekirjakontrolli faili otsingu teed h\u00f5lmavad ka kloneeritud t\u00f6\u00f6puu (r\u00fcnne seisneb \u00f5igekirjakontrolli lisamises hoidla t\u00f6\u00f6puusse). \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"