Ġew ippubblikati rilaxxi korrettivi tas-sistema ta' kontroll tas-sors distribwit Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 u 2.30.8, li fihom żewġ il-vulnerabbiltajiet huma eliminati, li jaffettwaw l-ottimizzazzjonijiet tal-klonu lokali u l-kmand "git apply". Tista 'ssegwi r-rilaxx ta' aġġornamenti tal-pakketti fid-distribuzzjonijiet fuq il-paġni Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Jekk ma jkunx possibbli li jiġi installat aġġornament, bħala soluzzjoni alternattiva, huwa rakkomandat li tevita li taħdem "git clone" bl-għażla "--recurse-submodules" fuq repożitorji mhux fdati, u li ma tużax il-"git apply" u "git am" jikkmanda b'kodiċi mhux affidabbli.
- Vulnerabbiltà CVE-2023-22490 tippermetti lil attakkant li jikkontrolla l-kontenut ta' repożitorju kklonat biex jikseb aċċess għal dejta kunfidenzjali fuq is-sistema tal-utent. Żewġ difetti jikkontribwixxu għall-emerġenza tal-vulnerabbiltà:
L-ewwel difett jippermetti, meta taħdem ma 'repożitorju ddisinjat apposta, li jinkiseb l-użu ta' ottimizzazzjonijiet tal-klonazzjoni lokali anke meta jintuża trasport li jinteraġixxi ma 'sistemi esterni.
It-tieni difett jippermetti t-tqegħid ta 'link simboliku minflok id-direttorju $GIT_DIR/oġġetti, simili għall-vulnerabbiltà CVE-2022-39253, li fit-tiswija tagħha t-tqegħid ta' links simboliċi fid-direttorju $GIT_DIR/oġġetti kien imblukkat, iżda l-fatt li d-direttorju $GIT_DIR/oġġetti innifsu ma kienx iċċekkjat jista' jkun rabta simbolika.
Fil-modalità tal-klonu lokali, git iċċaqlaq $ GIT_DIR/oġġetti lejn id-direttorju fil-mira billi tiddereferencing symlinks, li tikkawża li l-fajls referenzjati jiġu kkupjati direttament fid-direttorju fil-mira. Il-bidla għall-użu ta' ottimizzazzjonijiet ta' klonazzjoni lokali għal trasport mhux lokali tippermetti l-isfruttament ta' vulnerabbiltà meta taħdem ma' repożitorji esterni (pereżempju, l-inklużjoni b'mod rikorsiv ta' submoduli bil-kmand "git clone --recurse-submodules" tista' twassal għall-klonazzjoni ta' repożitorju malizzjuż ippakkjat bħala submodulu f'repożitorju ieħor).
- Il-vulnerabbiltà CVE-2023-23946 tippermetti l-kitba fuq il-kontenut tal-fajls barra mid-direttorju tax-xogħol billi tgħaddi input ifformattjat apposta lill-kmand "git apply". Pereżempju, jista 'jsir attakk meta l-irqajja' ppreparati minn attakkant jiġu pproċessati f'"git apply". Biex timblokka l-irqajja milli toħloq fajls barra l-kopja tax-xogħol, "git apply" timblokka l-ipproċessar ta 'garża li jippruvaw jiktbu fajl billi jużaw links simboliċi. Iżda din il-protezzjoni rriżulta li ġiet evitata billi ħolqot rabta simbolika fl-ewwel lok.
Sors: opennet.ru