സുരക്ഷാ പരിഹാരങ്ങളോടെ Git 2.35.2 റിലീസ്

വിതരണം ചെയ്ത ഉറവിട നിയന്ത്രണ സംവിധാനമായ Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2, 2.34.2 എന്നിവയുടെ തിരുത്തൽ റിലീസുകൾ പ്രസിദ്ധീകരിച്ചു, അതിൽ രണ്ട് കേടുപാടുകൾ പരിഹരിച്ചിരിക്കുന്നു:

• CVE-2022-24765 - പങ്കിട്ട ഡയറക്‌ടറികളുള്ള മൾട്ടി-യൂസർ സിസ്റ്റങ്ങളിൽ ഒരു ആക്രമണം തിരിച്ചറിഞ്ഞു, അത് മറ്റൊരു ഉപയോക്താവ് നിർവചിച്ചിരിക്കുന്ന കമാൻഡുകൾ നടപ്പിലാക്കുന്നതിലേക്ക് നയിച്ചേക്കാം. മറ്റ് ഉപയോക്താക്കളുമായി ഇടപഴകുന്ന സ്ഥലങ്ങളിൽ (ഉദാഹരണത്തിന്, പങ്കിട്ട ഡയറക്ടറികളിലോ താൽക്കാലിക ഫയലുകളുള്ള ഡയറക്‌ടറികളിലോ) ഒരു ആക്രമണകാരിക്ക് ഒരു ".git" ഡയറക്‌ടറി സൃഷ്‌ടിക്കാനും അതിൽ ".git/config" കോൺഫിഗറേഷൻ ഫയൽ സ്ഥാപിക്കാനും കഴിയും. ചില ടാസ്ക്കുകൾ എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ വിളിക്കുന്നു git കമാൻഡുകൾ (ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് കോഡ് എക്സിക്യൂഷൻ സംഘടിപ്പിക്കാൻ core.fsmonitor പാരാമീറ്റർ ഉപയോഗിക്കാം).

  ".git/config" എന്നതിൽ നിർവചിച്ചിരിക്കുന്ന ഹാൻഡ്‌ലറുകൾ ആക്രമണകാരി സൃഷ്‌ടിച്ച ".git" ഉപഡയറക്‌ടറിയേക്കാൾ ഉയർന്ന ഡയറക്‌ടറിയിൽ ജിറ്റ് ആക്‌സസ് ചെയ്‌താൽ മറ്റൊരു ഉപയോക്താവായി വിളിക്കപ്പെടും. കോൾ ഉൾപ്പെടെ പരോക്ഷമായി ചെയ്യാം, ഉദാഹരണത്തിന്, VS കോഡ്, ആറ്റം എന്നിവ പോലുള്ള git പിന്തുണയുള്ള കോഡ് എഡിറ്ററുകൾ ഉപയോഗിക്കുമ്പോൾ അല്ലെങ്കിൽ "git സ്റ്റാറ്റസ്" ട്രിഗർ ചെയ്യുന്ന ആഡ്-ഓണുകൾ ഉപയോഗിക്കുമ്പോൾ (ഉദാഹരണത്തിന്, Git Bash അല്ലെങ്കിൽ posh-git). Git 2.35.2 പതിപ്പിൽ, അണ്ടർലൈയിംഗ് ഡയറക്‌ടറികളിൽ ".git" തിരയുന്നതിനുള്ള ലോജിക്കിലെ മാറ്റങ്ങളിലൂടെ അപകടസാധ്യത തടഞ്ഞു (".git" ഡയറക്‌ടറി മറ്റൊരു ഉപയോക്താവിന്റേതാണെങ്കിൽ അത് ഇപ്പോൾ അവഗണിക്കപ്പെടും).

• CVE-2022-24767 എന്നത് Windows-ന് വേണ്ടിയുള്ള Git-ന്റെ അൺഇൻസ്റ്റാൾ ഓപ്പറേഷൻ പ്രവർത്തിപ്പിക്കുമ്പോൾ സിസ്റ്റം പ്രത്യേകാവകാശങ്ങൾ ഉപയോഗിച്ച് കോഡ് നടപ്പിലാക്കാൻ അനുവദിക്കുന്ന ഒരു Windows-നിർദ്ദിഷ്ട അപകടസാധ്യതയാണ്. സിസ്റ്റം ഉപയോക്താക്കൾക്ക് എഴുതാവുന്ന ഒരു താൽക്കാലിക ഡയറക്ടറിയിൽ അൺഇൻസ്റ്റാളർ പ്രവർത്തിക്കുന്നതാണ് പ്രശ്‌നത്തിന് കാരണം. ഒരു താൽക്കാലിക ഡയറക്‌ടറിയിൽ മാറ്റിസ്ഥാപിക്കുന്ന DLL-കൾ സ്ഥാപിച്ചാണ് ആക്രമണം നടത്തുന്നത്, അൺഇൻസ്റ്റാളർ SYSTEM അവകാശങ്ങളോടെ പ്രവർത്തിപ്പിക്കുമ്പോൾ അത് ലോഡ് ചെയ്യും.

അവലംബം: opennet.ru