Kiadásra kerültek a Git 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 és 2.30.9 verziók javítókiadásai, amelyek öt sebezhetőséget orvosolnak. A csomagok frissítésének nyomon követésére a Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD oldalain lehetőség van. A sebezhetőségek elleni védekezés érdekében ajánlott elkerülni a „git apply —reject” parancs végrehajtását megbízhatatlan külső javításokkal való munka során, és ellenőrizni a $GIT_DIR/config tartalmát a „git submodule deinit”, „git config —rename-section” és „git config —remove-section” parancsok végrehajtása előtt, amikor megbízhatatlan tárolókkal dolgozunk.
A CVE-2023-29007 sebezhetőség lehetővé teszi, hogy a $GIT_DIR/config fájl konfigurációs beállításait módosítsák, amelyek kód végrehajtására használhatók a rendszerben, ha a core.pager, core.editor és core.sshCommand direktívákban végrehajtott parancsokkal az exe fájlok elérési útját adják meg. A sebezhetőség egy logikai hiba miatt alakult ki, amely lehetővé teszi, hogy a túl hosszú konfigurációs értékek új szekció kezdeteiként legyenek értelmezve a szekciók átnevezése vagy törlése során. A gyakorlatban a sebezhetőséget kihasználó értékekhez túl hosszú szubmodul URL-ek megadásával lehet eljutni, amelyek a $GIT_DIR/config fájlba kerülnek az inicializálás során. Ezek az URL-ek új beállításokként értelmeződhetnek, amikor eltávolításukra próbálkoznak a „git submodule deinit” parancs segítségével.
A CVE-2023-25652 sebezhetőség lehetővé teszi, hogy fájlok tartalmát írhassák felül a munka fájdolgoján kívül, amikor a „git apply —reject” parancsot speciálisan megformázott javításokkal hajtják végre. Ha megpróbálják végrehajtani egy rosszindulatú javítást, amely egy fájl írására támaszkodik egy szimbolikus link segítségével a „git apply” paranccsal, az operáció elutasításra kerül. A Git 2.39.1 verziójában a szimbolikus linkeken keresztüli manipulációkkal szembeni védelmet kiegészítették azoknak a javításoknak a letiltásával, amelyek szimbolikus linkeket hoznak létre, és megpróbálnak írni rajtuk. A sebezhetőség lényege, hogy a Git nem vette figyelembe, hogy a felhasználó végrehajthatja a „git apply —reject” parancsot a javítás elutasított részeként a „.rej” kiterjesztésű fájlok írásához, így a támadó kihasználhatja ezt a lehetőséget, hogy tartalmat írjon egy tetszőleges mappába, amennyire ezt a jelenlegi jogosultságok lehetővé teszik.
Továbbá három sebezhetőséget szüntettek meg, amelyek kizárólag Windows platformon jelentkeznek: CVE-2023-29012 (a doskey.exe végrehajtható fájl keresése a tároló munkakönyvtárában a „Git CMD” parancs végrehajtásakor, lehetővé téve ezzel saját kód futtatását a felhasználói rendszeren), CVE-2023-25815 (puffertúlcsordulás a gettext helyi fájlainak feldolgozása során) és CVE-2023-29011 (a connect.exe fájl hamisítása SOCKS5 használata közben).
Forrás: opennet.ru
