מהדורת Git 2.35.2 עם תיקוני אבטחה

פורסמו מהדורות מתקנות של מערכת בקרת המקור המבוזר Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 ו-2.34.2, בהן שתי פגיעויות מתוקנות:

• CVE-2022-24765 - זוהתה התקפה על מערכות מרובות משתמשים עם ספריות משותפות שעלולה להוביל לביצוע פקודות שהוגדרו על ידי משתמש אחר. תוקף יכול ליצור ספריית ".git" במקומות המצטלבים עם משתמשים אחרים (לדוגמה, בספריות משותפות או ספריות עם קבצים זמניים) ולהציב בה קובץ תצורה ".git/config" עם התצורה של מטפלים שהם נקרא כאשר משימות מסוימות מבוצעות. פקודות git (לדוגמה, אתה יכול להשתמש בפרמטר core.fsmonitor כדי לארגן את ביצוע הקוד).

  המטפלים המוגדרים ב-".git/config" יופעלו כמשתמש אחר אם אותו משתמש ניגש ל-git בספרייה גבוהה יותר מתת-ספריית המשנה ".git" שנוצרה על ידי התוקף. הכללת השיחה יכולה להתבצע בעקיפין, למשל, בעת שימוש בעורכי קוד עם תמיכה ב-git, כגון VS Code ו-Atom, או בעת שימוש בתוספים שמפעילים "סטטוס git" (לדוגמה, Git Bash או posh-git). בגרסה Git 2.35.2, הפגיעות נחסמה באמצעות שינויים בלוגיקה של חיפוש ".git" בספריות הבסיסיות (מתעלמים כעת מהספרייה ".git" אם היא שייכת למשתמש אחר).

• CVE-2022-24767 היא פגיעות ספציפית לפלטפורמת Windows המאפשרת להפעיל קוד עם הרשאות SYSTEM בעת הפעלת פעולת ההסרה של Git עבור Windows. הבעיה נגרמת על ידי תוכנית הסרת ההתקנה הפועלת בספרייה זמנית הניתנת לכתיבה על ידי משתמשי המערכת. ההתקפה מתבצעת על ידי הצבת קובצי DLL חלופיים בספרייה זמנית, שתיטען כאשר תוכנית ההסרה מופעלת עם זכויות SYSTEM.

מקור: OpenNet.ru