In Git is een kritiek beveiligingsprobleem ontdekt (CVE-2021-29468), dat zich alleen manifesteert bij het bouwen voor de Cygwin-omgeving (een bibliotheek voor het emuleren van de basis Linux API in Windows en een set standaard Linux-programma's voor Windows). De kwetsbaarheid stelt een aanvaller in staat om code uit te voeren bij het ophalen van gegevens (‘git checkout’) uit een repository die onder controle staat van de aanvaller. Het probleem is opgelost in het git-pakket 2.31.1-2 voor Cygwin. In het hoofdproject van Git is het probleem voorlopig nog niet verholpen (het is onwaarschijnlijk dat iemand handmatig git voor Cygwin bouwt in plaats van een kant-en-klaar pakket te gebruiken).
De kwetsbaarheid wordt veroorzaakt door de behandeling van de Cygwin-omgeving als een Unix-achtige systeem in plaats van Windows, wat resulteert in het ontbreken van beperkingen op het gebruik van het teken ‘\’ in het pad, terwijl dit teken in Cygwin, net als in Windows, kan worden gebruikt om mappen te scheiden. Hierdoor kan door het creëren van een speciaal gemodificeerde repository, die symbolische links en bestanden met het omgekeerde schuine streep bevat, willekeurige bestanden worden overschreven bij het laden van deze repository in Cygwin (in Git voor Windows is een vergelijkbare kwetsbaarheid in 2019 opgelost). Met de mogelijkheid om bestanden te overschrijven kan de aanvaller hook-aanroepen in git overschrijven en willekeurige code in het systeem uitvoeren.
Bron: opennet.ru
