Er zijn correcties gepubliceerd voor het gedistribueerde versiebeheersysteem Git 2.40.1, 2.39.3, 2.38.5, 2.37.7, 2.36.6, 2.35.8, 2.34.8, 2.33.8, 2.32.7, 2.31.8 en 2.30.9, waarin vijf kwetsbaarheden zijn verholpen. U kunt de updates van de pakketten in de distributies volgen op de pagina's van Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Als tijdelijke oplossingen voor de kwetsbaarheden wordt aanbevolen om de opdracht "git apply --reject" te vermijden bij het werken met onbevestigde externe patches en de inhoud van $GIT_DIR/config te controleren voordat u de opdrachten "git submodule deinit", "git config --rename-section" en "git config --remove-section" uitvoert bij het werken met onbetrouwbare repositories.
De kwetsbaarheid CVE-2023-29007 maakt het mogelijk om instellingen in het configuratiebestand $GIT_DIR/config te injecteren, die kunnen worden gebruikt voor het uitvoeren van code op het systeem door paden naar uitvoerbare bestanden in de core.pager-, core.editor- en core.sshCommand-directieven op te geven. De kwetsbaarheid wordt veroorzaakt door een logische fout waardoor zeer lange configuratiewaarden kunnen worden behandeld als het begin van een nieuwe sectie bij het uitvoeren van hernoem- of verwijderbewerkingen op het configuratiebestand. In de praktijk kunnen kwetsbare waarden worden geĆÆnjecteerd door zeer lange submodule-URL's op te geven, die tijdens de initialisatie in het bestand $GIT_DIR/config worden opgeslagen. Deze URL's kunnen worden geĆÆnterpreteerd als nieuwe instellingen wanneer geprobeerd wordt ze te verwijderen met "git submodule deinit".
De kwetsbaarheid CVE-2023-25652 maakt het mogelijk om de inhoud van bestanden buiten de werkdirectory te overschrijven wanneer speciaal opgestelde patches worden verwerkt met de opdracht "git apply --reject". Wanneer geprobeerd wordt om een kwaadaardige patch toe te passen die probeert te schrijven naar een bestand via een symbolische link, zal de operatie worden geweigerd. In Git 2.39.1 is de bescherming tegen manipulatie via symbolische links uitgebreid met een blokkade voor patches die symbolische links aanmaken en proberen via deze links te schrijven. De kern van deze kwetsbaarheid is dat Git niet in aanmerking nam dat een gebruiker het commando "git apply --reject" kan uitvoeren om afgewezen delen van een patch op te slaan als bestanden met de extensie ".rej", en een aanvaller kan deze mogelijkheid gebruiken om inhoud naar een willekeurige map te schrijven, voor zover de huidige toegangsrechten dat toestaan.
Bovendien zijn er drie kwetsbaarheden verholpen die zich alleen op het Windows-platform voordoen: CVE-2023-29012 (de zoekopdracht naar het uitvoerbare bestand doskey.exe in de werkdirectory van de repository bij het uitvoeren van de "Git CMD"-opdracht, waardoor het mogelijk is om eigen code op het systeem van de gebruiker uit te voeren), CVE-2023-25815 (bufferoverloop bij de verwerking van speciaal opgemaakte lokalisatiebestanden in gettext) en CVE-2023-29011 (de mogelijkheid om het bestand connect.exe te vervangen tijdens gebruik via SOCKS5).
Bron: opennet.ru
