सिगविन के लिए Git में भेद्यता जो आपको कोड निष्पादन को व्यवस्थित करने की अनुमति देती है

Git में एक गंभीर सुरक्षा खामी (CVE-2021-29468) पाई गई है, जो केवल Cygwin वातावरण (अंतर्निहित वातावरण का अनुकरण करने वाली एक लाइब्रेरी) के लिए निर्माण करते समय ही दिखाई देती है। Linux एपीआई में Windows और विशिष्ट लिनक्स प्रोग्रामों का एक सेट Windowsयह भेद्यता हमलावर द्वारा नियंत्रित रिपॉजिटरी से डेटा प्राप्त करते समय ("git checkout") हमलावर द्वारा नियंत्रित कोड निष्पादन की अनुमति देती है। यह समस्या Cygwin के लिए git 2.31.1-2 पैकेज में ठीक कर दी गई है। मुख्य Git प्रोजेक्ट में यह समस्या अभी तक ठीक नहीं हुई है (यह संभावना नहीं है कि कोई भी Cygwin के लिए स्वयं git बना रहा हो, बल्कि पहले से निर्मित पैकेज का उपयोग कर रहा हो)।

यह भेद्यता Cygwin वातावरण को Unix-जैसे सिस्टम के रूप में माने जाने के कारण उत्पन्न होती है, न कि Windowsजिसके परिणामस्वरूप पथ में '\' वर्ण के उपयोग पर कोई प्रतिबंध नहीं है, जबकि साइग्विन में, जैसा कि Windowsइस चिह्न का उपयोग निर्देशिकाओं को अलग करने के लिए किया जा सकता है। अंततः, बैकस्लैश चिह्न वाले प्रतीकात्मक लिंक और फ़ाइलों से युक्त एक विशेष रूप से संशोधित रिपॉजिटरी बनाकर, Cygwin में इस रिपॉजिटरी को लोड करते समय (Git में) किसी भी फ़ाइल को ओवरराइट करना संभव है। Windows इसी तरह की एक खामी को 2019 में ठीक किया गया था। फाइलों को ओवरराइट करके, हमलावर गिट में हुक कॉल को ओवरराइड कर सकता है और सिस्टम पर मनमाना कोड निष्पादित कर सकता है।

स्रोत: opennet.ru