נקודות תורפה ב-Git שמובילות לדליפת נתונים והחלפת נתונים

מהדורות מתקנות של מערכת בקרת המקורות המבוזרת Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 ו- 2.30.8 פורסמו, אשר תיקנו שתי נקודות תורפה, המשפיעות על אופטימיזציות עבור שיבוט מקומי ופקודת "git application". אתה יכול לעקוב אחר שחרור עדכוני החבילות בהפצות בדפי Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. אם לא ניתן להתקין את העדכון, מומלץ כפתרון עוקף להימנע מביצוע פעולת "גיt clone" עם אפשרות "--recurse-submodules" במאגרים לא מהימנים, ולהימנע משימוש ב-"git application" ו-" git am" פקודות על מאגרים לא מהימנים. קוד.

• הפגיעות של CVE-2023-22490 מאפשרת לתוקף השולט בתוכן של מאגר משוכפל לקבל גישה לנתונים רגישים במערכת של המשתמש. שני פגמים תורמים להופעתה של פגיעות:

  הפגם הראשון מאפשר, בעבודה עם מאגר שתוכנן במיוחד, להשיג שימוש באופטימיזציות שיבוט מקומיות גם בעת שימוש בטרנספורט המקיים אינטראקציה עם מערכות חיצוניות.

  הפגם השני מאפשר מיקום של קישור סמלי במקום ספריית $GIT_DIR/objects, בדומה לפגיעות CVE-2022-39253, שהתיקון עבורו חסם את המיקום של קישורים סימבוליים בספריית $GIT_DIR/objects, אך לא בדוק את העובדה שספריית $GIT_DIR/objects עצמה עשויה להיות קישור סמלי.

  במצב שיבוט מקומי, git מעביר $GIT_DIR/objects לספריית היעד על ידי הרחקת הקישורים הסמליים, מה שגורם להעתקת הקבצים שהפניה ישירה אליהם לספריית היעד. מעבר לשימוש באופטימיזציות שיבוט מקומי לתחבורה לא מקומית מאפשר ניצול של פגיעויות בעבודה עם מאגרים חיצוניים (לדוגמה, הכללה רקורסיבית של תת-מודולים עם הפקודה "git clone —recurse-submodules" יכולה להוביל לשיבוט של מאגר זדוני ארוז כתת-מודול במאגר אחר).

• פגיעות CVE-2023-23946 מאפשרת החלפת תוכן של קבצים מחוץ לספריית העבודה על ידי העברת קלט בעל מבנה מיוחד לפקודה "git application". לדוגמה, התקפה יכולה להתבצע במהלך עיבוד התיקונים שהוכנו על ידי תוקף ב-git apply. כדי לחסום תיקונים מיצירת קבצים מחוץ לעותק העבודה, "git application" חוסם עיבוד של תיקונים שמנסים לכתוב קובץ באמצעות סימלינקים. אבל מסתבר שאפשר לעקוף את ההגנה הזו על ידי יצירת קישור סמלי מלכתחילה.

מקור: OpenNet.ru