Des versions correctives du système de contrôle de source distribué Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 et 2.34.2 ont été publiées, qui corrigent deux vulnérabilités :
- CVE-2022-24765 – Sur les systèmes multi-utilisateurs avec répertoires partagés, une attaque a été identifiée pouvant conduire à l'exécution de commandes définies par un autre utilisateur. Un attaquant peut créer un répertoire « .git » à des endroits qui chevauchent d'autres utilisateurs (par exemple, dans des répertoires partagés ou des répertoires avec des fichiers temporaires) et y placer un fichier de configuration « .git/config » avec la configuration des gestionnaires appelés lorsque certaines tâches sont exécutées par des commandes git (par exemple, vous pouvez utiliser le paramètre core.fsmonitor pour organiser l'exécution du code).
Les gestionnaires définis dans « .git/config » seront appelés avec les droits d'un autre utilisateur si cet utilisateur utilise git dans un répertoire situé à un niveau supérieur au sous-répertoire « .git » créé par l'attaquant. L'appel peut également être effectué indirectement, par exemple lors de l'utilisation d'éditeurs de code prenant en charge git, tels que VS Code et Atom, ou lors de l'utilisation de modules complémentaires exécutant « git status » (par exemple, Git Bash ou posh-git). Dans Git 2.35.2, la vulnérabilité a été bloquée par des modifications de la logique de recherche de « .git » dans les répertoires sous-jacents (le répertoire « .git » n'est désormais plus pris en compte s'il appartient à un autre utilisateur).
- CVE-2022-24767 est une vulnérabilité spécifique à la plate-forme Windows qui permet l'exécution de code avec les privilèges SYSTEM lors de l'exécution de l'opération de désinstallation du programme Git pour Windows. Le problème est dû au fait que le programme de désinstallation s'exécute dans un répertoire temporaire accessible en écriture par les utilisateurs du système. L'attaque est réalisée en plaçant des DLL de remplacement dans un répertoire temporaire, qui sera chargé lors du lancement du programme de désinstallation avec les droits SYSTÈME.
Source: opennet.ru