Paskelbti korekciniai platinamo šaltinio valdymo sistemos Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 ir 2.37.4 korekciniai leidimai, kurie pataiso du pažeidžiamumai , atsirandantys naudojant komandą „git clone“ režimu „—recurse-submodules“ su nepažymėtomis saugyklomis ir naudojant „git shell“ interaktyvųjį režimą. Galite sekti paketų naujinimų išleidimą distribucijose Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD puslapiuose.
- CVE-2022-39253 – pažeidžiamumas leidžia užpuolikui, valdančiam klonuotos saugyklos turinį, prieiti prie konfidencialių duomenų naudotojo sistemoje įdėjus simbolines nuorodas į dominančius failus klonuotos saugyklos $GIT_DIR/objects kataloge. Problema iškyla tik klonuojant lokaliai („--local“ režimu, kuris naudojamas, kai klono tiksliniai ir šaltinio duomenys yra tame pačiame skaidinyje) arba klonuojant kenkėjišką saugyklą, supakuotą kaip submodulis kitoje saugykloje (pvz., kai rekursyviai įtraukiami submoduliai su komanda „git clone“ – recurse-submodules“).
Pažeidžiamumą sukelia tai, kad „--local“ klonavimo režimu git perkelia $GIT_DIR/objektų turinį į tikslinį katalogą (kurdamas kietąsias nuorodas ar failų kopijas), atlikdamas simbolinių nuorodų nuorodą (t. y. kaip dėl to nesimbolinės nuorodos nukopijuojamos į tikslinį katalogą , bet tiesiogiai failai, į kuriuos nukreiptos nuorodos). Siekiant blokuoti pažeidžiamumą, nauji git leidimai draudžia klonuoti saugyklas „--local“ režimu, kuriose yra simbolinių nuorodų kataloge $GIT_DIR/objects. Be to, numatytoji parametro protocol.file.allow reikšmė buvo pakeista į „user“, todėl klonavimo operacijos naudojant protokolą file:// yra nesaugios.
- CVE-2022-39260 – sveikųjų skaičių perpildymas split_cmdline() funkcijoje, naudojamoje komandoje „git shell“. Problema gali būti naudojama atakuoti vartotojus, kurių prisijungimo apvalkalas yra „git shell“ ir įjungtas interaktyvusis režimas (sukurtas $HOME/git-shell-komandų failas). Pažeidžiamumo išnaudojimas gali sukelti savavališko kodo vykdymą sistemoje, kai siunčiama specialiai sukurta komanda, didesnė nei 2 GB.
Šaltinis: opennet.ru