Cygwin साठी Git मधील भेद्यता जी तुम्हाला कोडची अंमलबजावणी आयोजित करण्यास अनुमती देते

Git (CVE-2021-29468) मध्ये एक गंभीर भेद्यता ओळखली गेली आहे, जी केवळ Cygwin पर्यावरणासाठी (Windows वर मूलभूत Linux API चे अनुकरण करण्यासाठी लायब्ररी आणि Windows साठी मानक Linux प्रोग्राम्सचा संच) तयार करताना दिसून येते. आक्रमणकर्त्याद्वारे नियंत्रित रेपॉजिटरीमधून डेटा ("गिट चेकआउट") पुनर्प्राप्त करताना भेद्यता आक्रमणकर्ता कोड कार्यान्वित करण्यास अनुमती देते. Cygwin साठी git 2.31.1-2 पॅकेजमध्ये समस्या निश्चित केली आहे. मुख्य गिट प्रकल्पात, समस्येचे अद्याप निराकरण केले गेले नाही (तयार-तयार पॅकेज वापरण्याऐवजी कोणीतरी त्यांच्या स्वत: च्या हातांनी सिग्विनसाठी गिट तयार करत असल्याची शक्यता नाही).

सिग्विनने विंडोज ऐवजी युनिक्स सारखी सिस्टीम म्हणून पर्यावरणावर प्रक्रिया केल्यामुळे असुरक्षितता निर्माण होते, ज्यामुळे पाथमध्ये '\' वर्ण वापरण्यावर कोणतेही निर्बंध नाहीत, तर सिग्विनमध्ये, विंडोजप्रमाणेच, हे वर्ण असू शकतात. डिरेक्टरी विभक्त करण्यासाठी वापरले जाते. परिणामी, बॅकस्लॅश कॅरेक्टरसह प्रतिकात्मक दुवे आणि फायली असलेले खास सुधारित भांडार तयार करून, हे भांडार Cygwin मध्ये लोड करताना अनियंत्रित फाइल्स ओव्हरराइट करणे शक्य आहे (2019 मध्ये Windows साठी Git मध्ये अशीच भेद्यता निश्चित केली गेली होती). फायली ओव्हरराइट करण्याची क्षमता प्राप्त करून, आक्रमणकर्ता गिटमधील हुक कॉल्स ओव्हरराइड करू शकतो आणि सिस्टमवर अनियंत्रित कोड अंमलात आणू शकतो.

स्त्रोत: opennet.ru