Objavljene su ispravke za distribuirani sustav upravljanja izvorom Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 i 2.34.2, u kojima su ispravljena dva sigurnosna propusta:
- CVE-2022-24765 — u višekorisničkim sustavima s zajedničkim direktorijima otkrivena mogućnost izvedbe napada koji može dovesti do izvršavanja komandi definiranih od drugog korisnika. Napadač može stvoriti direktorij „.git” na mjestima koja se preklapaju s drugim korisnicima (na primjer, u zajedničkim direktorijima ili direktorijima s privremenim datotekama) i smjestiti u njega datoteku konfiguracije „.git/config” s postavkama upravitelja koji se pozivaju prilikom izvršavanja određenih git komandi (na primjer, za organizaciju izvršavanja koda može se koristiti opcija core.fsmonitor).
Određeni upravitelji navedeni u „.git/config” bit će pozvani s pravima drugog korisnika, ako taj korisnik koristi git u direktoriju koji je viši od poddirektorija „.git” koji je stvorio napadač. Poziv također može biti neizravno izvršen, na primjer, korištenjem uređivača koda koji podržavaju git, kao što su VS Code i Atom, ili korištenjem dodataka koji pokreću „git status” (na primjer, Git Bash ili posh-git). U verziji Git 2.35.2 ranjivost je blokirana promjenom logike pretraživanja „.git” u podređenim direktorijima (direktorij „.git” se sada ne uzima u obzir ako pripada drugom korisniku).
- CVE-2022-24767 — ranjivost specifična za platformu Windows koja omogućava izvršavanje koda s privilegijama SYSTEM prilikom pokretanja operacije deinstalacije (Uninstall) programa Git for Windows. Problem je uzrokovan činjenicom da se program za deinstalaciju pokreće u privremenom direktoriju koji je pisiv drugim korisnicima u sustavu. Napad se provodi kroz smještaj zamjenskih DLL-ova u privremeni direktorij koji će biti učitani prilikom pokretanja deinstalatora s pravima SYSTEM.
Izvor: opennet.ru
