{"id":106827,"date":"2023-02-15T18:48:14","date_gmt":"2023-02-15T16:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=106827"},"modified":"2023-02-16T11:50:36","modified_gmt":"2023-02-16T09:50:36","slug":"uyazvimosti-v-git-privodyashhaya-k-utechke-i-perezapisi-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-git-privodyashhaya-k-utechke-i-perezapisi-dannyh","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans Git, menant \u00e0 des fuites et \u00e0 la r\u00e9\u00e9criture de donn\u00e9es","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des versions correctives du syst\u00e8me de gestion de versions distribu\u00e9es Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 et 2.30.8 ont \u00e9t\u00e9 publi\u00e9es, corrigeant deux vuln\u00e9rabilit\u00e9s li\u00e9es aux optimisations lors des clonages locaux et \u00e0 la commande \u00ab git apply \u00bb. Pour suivre la publication des mises \u00e0 jour des paquets dans les distributions, vous pouvez consulter les pages de Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Si l'installation de la mise \u00e0 jour n'est pas possible, il est recommand\u00e9 d'\u00e9viter d'ex\u00e9cuter l'op\u00e9ration \u00ab git clone \u00bb avec l'option \u00ab --recurse-submodules \u00bb sur des d\u00e9p\u00f4ts non fiables, ainsi que de ne pas utiliser les commandes \u00ab git apply \u00bb et \u00ab git am \u00bb sur du code non v\u00e9rifi\u00e9. <\/p>\n
\n
La vuln\u00e9rabilit\u00e9 CVE-2023-22490 permet \u00e0 un attaquant contr\u00f4lant le contenu du d\u00e9p\u00f4t clon\u00e9 d'acc\u00e9der \u00e0 des donn\u00e9es confidentielles sur le syst\u00e8me de l'utilisateur. L'apparition de cette vuln\u00e9rabilit\u00e9 est due \u00e0 deux d\u00e9fauts :\n
Le premier d\u00e9faut permet, lors du travail avec un d\u00e9p\u00f4t sp\u00e9cialement con\u00e7u, d'appliquer des optimisations locales du clonage m\u00eame en utilisant un transport interagissant avec des syst\u00e8mes externes. <\/p>\n
Le second d\u00e9faut permet de placer un lien symbolique \u00e0 la place du r\u00e9pertoire $GIT_DIR\/objects, similaire \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2022-39253, dans la correction de laquelle le placement de liens symboliques dans le r\u00e9pertoire $GIT_DIR\/objects \u00e9tait bloqu\u00e9, mais il n'\u00e9tait pas v\u00e9rifi\u00e9 que le r\u00e9pertoire lui-m\u00eame $GIT_DIR\/objects pouvait \u00eatre un lien symbolique. <\/p>\n
En mode de clonage local, Git d\u00e9place $GIT_DIR\/objects dans le r\u00e9pertoire cible, en r\u00e9solvant les liens symboliques, ce qui signifie que les fichiers point\u00e9s par ces liens sont directement copi\u00e9s dans le r\u00e9pertoire cible. Passer \u00e0 l'application des optimisations de clonage local pour un transport non local permet d'exploiter une vuln\u00e9rabilit\u00e9 lors du travail avec des d\u00e9p\u00f4ts externes (par exemple, l'inclusion r\u00e9cursive de sous-modules via la commande \u00ab git clone --recurse-submodules \u00bb peut entra\u00eener le clonage d'un d\u00e9p\u00f4t malveillant empaquet\u00e9 sous forme de sous-module dans un autre d\u00e9p\u00f4t). <\/p>\n
La vuln\u00e9rabilit\u00e9 CVE-2023-23946 permet de remplacer le contenu de fichiers en dehors du r\u00e9pertoire de travail en transmettant une entr\u00e9e sp\u00e9cialement format\u00e9e \u00e0 la commande \u00ab git apply \u00bb. Par exemple, une attaque peut \u00eatre men\u00e9e en traitant des patches pr\u00e9par\u00e9s par un attaquant dans \u00ab git apply \u00bb. Pour emp\u00eacher la cr\u00e9ation de fichiers par des patches en dehors de la copie de travail, \u00ab git apply \u00bb bloque le traitement de patches qui tentent d'\u00e9crire un fichier en utilisant des liens symboliques. Cependant, cette protection peut \u00eatre contourn\u00e9e en cr\u00e9ant d'abord un lien symbolique. <\/ul>\n