Publicáronse versións correctivas do sistema de control de fontes distribuída Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 e 2.34.2, nas que se corrixiron dúas vulnerabilidades:
- CVE-2022-24765 - Identificouse un ataque a sistemas multiusuario con directorios compartidos que podería levar á execución de comandos definidos por outro usuario. Un atacante pode crear un directorio ".git" en lugares que se cruzan con outros usuarios (por exemplo, en directorios compartidos ou directorios con ficheiros temporais) e colocar nel un ficheiro de configuración ".git/config" coa configuración dos controladores que son chámase cando se executan determinadas tarefas.comandos git (por exemplo, pode usar o parámetro core.fsmonitor para organizar a execución do código).
Os controladores definidos en ".git/config" chamaranse como un usuario diferente se ese usuario accede a git nun directorio superior ao subdirectorio ".git" creado polo atacante. Incluír a chamada pódese facer indirectamente, por exemplo, cando se usan editores de código con compatibilidade con git, como VS Code e Atom, ou cando se usan complementos que activan o "estado de git" (por exemplo, Git Bash ou posh-git). Na versión Git 2.35.2, a vulnerabilidade bloqueouse mediante cambios na lóxica de busca de ".git" nos directorios subxacentes (o directorio ".git" agora ignorarase se pertence a outro usuario).
- CVE-2022-24767 é unha vulnerabilidade específica de Windows que permite executar código con privilexios de SISTEMA ao executar a operación de desinstalación de Git para Windows. O problema é causado polo desinstalador que se executa nun directorio temporal que poden escribir os usuarios do sistema. O ataque realízase colocando DLL de substitución nun directorio temporal, que se cargará cando se execute o desinstalador con dereitos de SISTEMA.
Fonte: opennet.ru