Hajautetun lähteen ohjausjärjestelmän Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ja 2.34.2 korjaavat julkaisut on julkaistu, jotka korjaavat kaksi haavoittuvuutta:
- CVE-2022-24765 – Usean käyttäjän järjestelmissä, joissa on jaetut hakemistot, on tunnistettu hyökkäys, joka voi johtaa toisen käyttäjän määrittämien komentojen suorittamiseen. Hyökkääjä voi luoda .git-hakemiston paikkoihin, jotka ovat päällekkäisiä muiden käyttäjien kanssa (esimerkiksi jaetuissa hakemistoissa tai hakemistoissa, joissa on väliaikaisia tiedostoja) ja sijoittaa siihen .git/config-määritystiedoston, jossa on käsittelijöiden määritykset, joita kutsutaan kun tietyt tehtävät suoritetaan git-komennot (voit esimerkiksi käyttää core.fsmonitor-parametria koodin suorittamisen järjestämiseen).
Kohdassa ".git/config" määritettyjä käsittelijöitä kutsutaan toisen käyttäjän oikeuksilla, jos kyseinen käyttäjä käyttää gitiä hakemistossa, joka sijaitsee korkeammalla tasolla kuin hyökkääjän luoma ".git"-alihakemisto. Kutsu voidaan tehdä myös epäsuorasti, esimerkiksi käytettäessä gitiä tukevia koodieditoreja, kuten VS Code ja Atom, tai käytettäessä "git statusta" ajavia lisäosia (esim. Git Bash tai posh-git). Git 2.35.2:ssa haavoittuvuus estettiin muuttamalla logiikkaa ".git"-haun taustalla olevista hakemistoista (".git"-hakemistoa ei nyt oteta huomioon, jos se on toisen käyttäjän omistama).
- CVE-2022-24767 on Windows-alustakohtainen haavoittuvuus, joka sallii koodin suorittamisen JÄRJESTELMÄ-oikeuksilla, kun suoritetaan Git for Windows -ohjelman asennuksen poistotoiminto. Ongelma johtuu siitä, että asennuksen poistoohjelma toimii väliaikaisessa hakemistossa, johon järjestelmän käyttäjät voivat kirjoittaa. Hyökkäys suoritetaan sijoittamalla korvaavat DLL:t väliaikaiseen hakemistoon, joka ladataan, kun asennuksen poisto käynnistetään JÄRJESTELMÄ-oikeuksilla.
Lähde: opennet.ru