Ажурирање на Git со поправени 8 пропусти

Објавено корективни изданија на системот за контрола на дистрибуирани извори Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 и 2.14.62.24.1. . Повеќето проблеми идентификувани од вработените
Microsoft Security Response Center, пет од осумте пропусти се специфични за платформата Windows.

• CVE-2019-1348 — команда за стриминг „функција извоз-марки=пат“таа им овозможува на пишувајте етикети во произволни директориуми, кои може да се користат за презапишување произволни патеки во датотечниот систем при извршување на операција „git fast-import“ со нештиклирани влезни податоци.
• CVE-2019-1350 - неправилно бегство од аргументите на командната линија може да доведе за далечинско извршување на кодот на напаѓачот при рекурзивно клонирање со помош на URL-адресата ssh://. Конкретно, бегството од аргументи што завршуваат со обратна коса црта (на пример, „тест \“) се постапува погрешно. Во овој случај, при врамување аргумент со двојни наводници, последниот цитат беше избегнат, што овозможи да се организира замена на вашите опции на командната линија.
• CVE-2019-1349 — при рекурзивно клонирање на подмодули („клон - рекурс-подмодули“) во околината на Windows под одредени услови тоа би можело да биде активирајте ја употребата на истиот директориум git двапати (.git, git~1, git~2 и git~N се препознаваат како еден директориум во NTFS, но оваа ситуација беше тестирана само за git~1), што може да се користи за организирање пишување во директориумот „. git“. За да го организира извршувањето на неговиот код, напаѓачот, на пример, може да ја замени својата скрипта преку управувачот по наплатата во датотеката .git/config.
• CVE-2019-1351 — Ракувачот за имиња на дискови со букви во патеките на Windows при преведување патеки како „C:\“ беше дизајниран само да ги замени латинските идентификатори со една буква, но не ја зеде предвид можноста за создавање виртуелни дискови доделени преку „subst letter: path“ . Таквите патеки не беа третирани како апсолутни, туку како релативни патеки, што овозможи, при клонирање на злонамерно складиште, да се организира запис во произволен директориум надвор од дрвото на работниот директориум (на пример, кога се користат броеви или знаци на уникод на дискот име - „1:\what\the\ hex.txt“ или „ä:\tschibät.sch“).
• CVE-2019-1352 - кога работите на платформата Windows, употребата на алтернативни потоци на податоци во NTFS, создадени со додавање на атрибутот „:stream-name:stream-type“ на името на датотеката, дозволено презапишете датотеки во директориумот „.git/“ при клонирање на злонамерно складиште. На пример, името „.git::$INDEX_ALLOCATION“ во NTFS беше третирано како валидна врска до директориумот „.git“.
• CVE-2019-1353 — кога користите Git во WSL (Windows Subsystem for Linux) околина кога пристапувате до работниот директориум не се користи заштита од манипулација со името во NTFS (нападите преку превод на името FAT беа можни, на пример, до „.git“ можеше да се пристапи преку директориумот „git~1“).
• CVE-2019-1354 -
  можност пишува во директориумот „.git/“ на платформата Windows при клонирање на малициозни складишта што содржат датотеки со обратна коса црта во името (на пример, „a\b“), што е прифатливо на Unix/Linux, но е прифатено како дел од патеката на Windows.

• CVE-2019-1387 - недоволната проверка на имињата на подмодулите може да се користи за организирање насочени напади, кои, доколку се рекурзивно клонирани, потенцијално би можеле може да доведе да го изврши кодот на напаѓачот. Git не го спречи создавањето директориум на подмодули во директориумот на друг подмодул, што во повеќето случаи само ќе доведе до конфузија, но не спречи потенцијално да се препише содржината на друг модул за време на процесот на рекурзивно клонирање (на пример, директориумите на подмодулите „нилски коњ“ и „нилски коњ/куки“ се поставени како „ .git/modules/hippo/“ и „.git/modules/hippo/hooks/“, а директориумот за куки во нилскиот коњ може да се користи посебно за да се сместат активираните куки.

На корисниците на Windows им се препорачува веднаш да ја ажурираат својата верзија на Git и да се воздржат од клонирање на непроверени складишта до ажурирањето. Ако сè уште не е можно итно да се ажурира верзијата Git, тогаш за да се намали ризикот од напад, се препорачува да не се извршуваат „git clone — recurse-submodules“ и „git submodule update“ со непроверени складишта, да не се користи „git fast-import“ со непроверени влезни текови, а не за клонирање складишта на партиции базирани на NTFS.

За дополнителна безбедност, новите изданија исто така забрануваат употреба на конструкции од формата „submodule.{name}.update=!command“ во .gitmodules. За дистрибуции, можете да го следите објавувањето на ажурирањата на пакетите на страниците Debian,Ubuntu, RHEL, SUSE/OPENSUSE, Fedora, Лак, ALT, FreeBSD.

Извор: opennet.ru