Sono stati pubblicati aggiornamenti correttivi per il sistema di controllo versione distribuito Git nelle versioni 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 e 2.34.2, che risolvono due vulnerabilità:
- CVE-2022-24765 — in sistemi multiutente con directory condivise è stata identificata una possibilità di attacco che consente l'esecuzione di comandi definiti da un altro utente. Un attaccante può creare una directory «.git» in posizioni che si sovrappongono con altri utenti (ad esempio, in directory condivise o directory di file temporanei) e posizionarvi un file di configurazione «.git/config» con impostazioni degli handler invocati durante l'esecuzione di determinati comandi git (ad esempio, per eseguire del codice, si può utilizzare il parametro core.fsmonitor).
I gestori specificati in «.git/config» verranno chiamati con i diritti di un altro utente se quest'ultimo utilizza git in una directory situata a un livello superiore rispetto alla sottodirectory «.git» creata dall'attaccante. Ciò include anche chiamate che possono avvenire indirettamente, ad esempio utilizzando editor di codice con supporto git, come VS Code e Atom, oppure attraverso plugin che eseguono «git status» (ad esempio, Git Bash o posh-git). Nella versione Git 2.35.2, la vulnerabilità è bloccata attraverso modifiche alla logica di ricerca di «.git» nelle directory superiori (la directory «.git» non viene più considerata se appartiene a un altro utente).
- CVE-2022-24767 — una vulnerabilità specifica della piattaforma Windows che consente l'esecuzione di codice con privilegi SYSTEM durante l'esecuzione dell'operazione di disinstallazione (Uninstall) del programma Git for Windows. Il problema è causato dal fatto che il programma di disinstallazione viene eseguito in una directory temporanea accessibile in scrittura agli utenti del sistema. L'attacco viene condotto posizionando DLL sostitutive nella directory temporanea, che verranno caricate durante l'esecuzione dell'uninstaller con privilegi SYSTEM.
Fonte: opennet.ru
