Megjelentek a Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 és 2.34.2 elosztott forrásszöveg-kezelő rendszer javító kiadásai, amelyekben két sebezhetőséget orvosoltak:
- CVE-2022-24765 — Többfelhasználós rendszereken, ahol közösen használt katalógusok találhatók, lehetőség nyílik arra, hogy egy felhasználó által definiált parancsok futtathatók legyenek. A támadó létrehozhat egy „.git” katalógust olyan helyeken, amelyek átfedik más felhasználókkal (például közösen használt katalógusokban vagy ideiglenes fájlokat tartalmazó helyeken), és elhelyezhet benne egy „.git/config” konfigurációs fájlt olyan beállításokkal, amelyek megadott git parancsok végrehajtásakor meghívott kezelőket definiálnak (például a core.fsmonitor paraméter használatával kód végrehajtási lehetőséget biztosítanak).
A „.git/config” nevű fájlban definiált kezelők más felhasználó jogainak birtokában lesznek végrehajtva, ha az adott felhasználó git-et használ egy olyan szinten, amely magasabban helyezkedik el, mint a támadó által létrehozott „.git” almappa. A hívás közvetve is megtörténhet, például git támogatással rendelkező kódszerkesztők, mint a VS Code és Atom használatakor, vagy olyan kiterjesztések alkalmazásakor, amelyek „git status”-t indítanak (például Git Bash vagy posh-git). A Git 2.35.2-es verzióban a sebezhetőséget a „.git” alsó szintű katalógusokban történő keresés logikájának megváltoztatásával blokkolták (a „.git” katalógust mostantól nem veszik figyelembe, ha az más felhasználóé).
- CVE-2022-24767 — Platformspecifikus Windows sebezhetőség, amely lehetővé teszi a SYSTEM jogosultságokkal történő kódvégrehajtást a Git for Windows program eltávolítása (Uninstall) műveletének indításakor. A probléma abból adódik, hogy az eltávolító program egy ideiglenes katalógusban indul, amely írásra elérhető a rendszer felhasználói számára. A támadás úgy valósul meg, hogy helyettesítő DLL-eket helyeznek el az ideiglenes katalógusban, amelyeket a SYSTEM jogokkal végrehajtott eltávolító futásakor töltenek be.
Forrás: opennet.ru
