Sono stati pubblicati aggiornamenti correttivi per il sistema di controllo versione distribuito Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 e 2.30.8, nei quali sono state risolte due vulnerabilità che influenzano le ottimizzazioni durante il cloning locale e il comando «git apply». È possibile seguire il rilascio degli aggiornamenti dei pacchetti nelle distribuzioni sulle pagine di Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Se l'aggiornamento non può essere installato, si consiglia di evitare l'esecuzione dell'operazione «git clone» con l'opzione «—recurse-submodules» su repository non attendibili e di non usare i comandi «git apply» e «git am» con codice non verificato.
- La vulnerabilità CVE-2023-22490 consente a un attaccante che controlla il contenuto del repository clonato di accedere a dati riservati sul sistema dell'utente. Due difetti hanno portato alla comparsa di questa vulnerabilità:
Il primo difetto consente, lavorando con un repository appositamente formattato, di ottenere l'applicazione delle ottimizzazioni locali di clonazione anche quando si utilizza un trasporto che interagisce con sistemi esterni.
Il secondo difetto consente di posizionare un collegamento simbolico al posto della directory $GIT_DIR/objects, analogamente alla vulnerabilità CVE-2022-39253, la cui correzione ha bloccato il posizionamento di collegamenti simbolici nella directory $GIT_DIR/objects, ma non ha verificato che la directory stessa $GIT_DIR/objects potesse essere un collegamento simbolico.
In modalità di clonazione locale, git sposta $GIT_DIR/objects nella directory di destinazione, eseguendo la dereferenza dei collegamenti simbolici, il che porta a una copia diretta nella directory di destinazione dei file a cui puntano i collegamenti. Passare all'applicazione delle ottimizzazioni locali di clonazione per un trasporto non locale consente di sfruttare la vulnerabilità quando si lavora con repository esterni (ad esempio, l'inclusione ricorsiva di sottoggetti con il comando «git clone —recurse-submodules» può portare al cloning di un repository dannoso impacchettato come sottoggetto in un altro repository).
- La vulnerabilità CVE-2023-23946 consente di sovrascrivere il contenuto dei file al di fuori della directory di lavoro tramite l'invio di input appositamente formattato al comando «git apply». Ad esempio, un attacco può essere condotto durante la gestione in «git apply» di patch preparati dall'attaccante. Per impedire la creazione di file da parte delle patch al di fuori della copia di lavoro, «git apply» blocca l'elaborazione delle patch che cercano di scrivere file utilizzando collegamenti simbolici. Tuttavia, questa protezione è stata aggirata creando prima un collegamento simbolico.
Fonte: opennet.ru
