Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 жана 2.30.8 патчтары бөлүштүрүлгөн булак башкаруу системасы үчүн чыгарылды. Бул патчтар жергиликтүү клондоону оптималдаштырууга жана "git apply" буйругуна таасир этүүчү эки алсыздыкты чечет. Бул дистрибутивдер үчүн пакет жаңыртууларынын чыгарылышын төмөнкү баракчалардан көзөмөлдөй аласыз: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Эгерде жаңыртууну орнотуу мүмкүн болбосо, анда убакыттын өтүшү менен, ишенимсиз репозиторийлер менен "--recurse-submodules" опциясы менен "git clone" операциясынан алыс болууну жана текшерилбеген код менен "git apply" жана "git am" буйруктарын колдонбоону сунуштайбыз.
- CVE-2023-22490 алсыздыгы клондолгон репозиторийдин мазмунун башкарган чабуулчуга колдонуучунун тутумундагы купуя маалыматтарга кирүү мүмкүнчүлүгүн берет. Эки кемчиликтер аялуу пайда болушуна өбөлгө түзөт:
Биринчи кемчилик атайын иштелип чыккан репозиторий менен иштөөдө тышкы системалар менен өз ара аракеттенүүчү транспортту колдонууда да жергиликтүү клондоштурууну оптималдаштырууга жетишүүгө мүмкүндүк берет.
Экинчи мүчүлүштүк $GIT_DIR/objects каталогунун ордуна символдук шилтемени жайгаштырууга мүмкүндүк берет, CVE-2022-39253 аялуулугуна окшош, аны оңдоо $GIT_DIR/objects каталогуна символикалык шилтемелерди жайгаштырууга бөгөт койгон, бирок андай эмес. $GIT_DIR/objects каталогунун өзү символикалык шилтеме болушу мүмкүн экенин текшериңиз.
Жергиликтүү клондоо режиминде, git $GIT_DIR/объекттерин символдук шилтемелерди жокко чыгаруу менен максаттуу каталогго өткөрүп берет, бул түздөн-түз шилтемеленген файлдарды максаттуу каталогго көчүрүүгө алып келет. Жергиликтүү эмес транспорт үчүн локалдык клондоштуруу оптималдаштыруусун колдонууга өтүү тышкы репозиторийлер менен иштөөдө алсыздыктарды пайдаланууга мүмкүндүк берет (мисалы, “git clone —recurse-submodules” буйругу менен субмодулдарды рекурсивдүү киргизүү, субмодуль катары пакеттелген зыяндуу репозиторийди клондоштурууга алып келиши мүмкүн. башка репозиторийде).
- CVE-2023-23946 аялуулугу "git apply" буйругуна атайын даярдалган киргизүү аркылуу жумушчу каталогдон тышкаркы файлдардын мазмунун кайра жазууга мүмкүндүк берет. Мисалы, чабуул чабуулчу тарабынан даярдалган патчтарды иштетүү учурунда жүргүзүлүшү мүмкүн "git application". Жумушчу көчүрмөдөн тышкары файлдарды түзүүдө патчтарды бөгөттөө үчүн, "git application" символдук шилтемелер аркылуу файлды жазууга аракет кылган патчтарды иштетүүнү бөгөттөйт. Бирок бул коргоону биринчи кезекте символикалык шилтеме түзүү менен айланып өтүүгө болот экен.
Source: opennet.ru
