सिगविन के लिए Git में भेद्यता जो आपको कोड निष्पादन को व्यवस्थित करने की अनुमति देती है

Git (CVE-2021-29468) में एक गंभीर भेद्यता की पहचान की गई है, जो केवल सिगविन वातावरण (विंडोज़ पर मूल लिनक्स एपीआई का अनुकरण करने के लिए एक लाइब्रेरी और विंडोज के लिए मानक लिनक्स कार्यक्रमों का एक सेट) के लिए निर्माण करते समय दिखाई देती है। भेद्यता हमलावर द्वारा नियंत्रित रिपॉजिटरी से डेटा ("गिट चेकआउट") पुनर्प्राप्त करते समय हमलावर कोड को निष्पादित करने की अनुमति देती है। समस्या को सिगविन के लिए git 2.31.1-2 पैकेज में ठीक कर दिया गया है। मुख्य Git प्रोजेक्ट में, समस्या अभी तक ठीक नहीं हुई है (यह संभावना नहीं है कि कोई तैयार पैकेज का उपयोग करने के बजाय सिगविन के लिए अपने हाथों से git बना रहा है)।

भेद्यता सिग्विन द्वारा पर्यावरण को विंडोज के बजाय यूनिक्स जैसी प्रणाली के रूप में संसाधित करने के कारण होती है, जिसके परिणामस्वरूप पथ में '\' वर्ण के उपयोग पर कोई प्रतिबंध नहीं होता है, जबकि सिगविन में, विंडोज़ की तरह, यह वर्ण हो सकता है निर्देशिकाओं को अलग करने के लिए उपयोग किया जाता है। परिणामस्वरूप, एक विशेष रूप से संशोधित रिपॉजिटरी बनाकर जिसमें प्रतीकात्मक लिंक और बैकस्लैश चरित्र वाली फाइलें होती हैं, इस रिपॉजिटरी को सिगविन में लोड करते समय मनमानी फ़ाइलों को ओवरराइट करना संभव है (2019 में विंडोज़ के लिए गिट में एक समान भेद्यता तय की गई थी)। फ़ाइलों को अधिलेखित करने की क्षमता प्राप्त करके, एक हमलावर गिट में हुक कॉल को ओवरराइड कर सकता है और सिस्टम पर मनमाना कोड निष्पादित कर सकता है।

स्रोत: opennet.ru