Corrigerende uitgaven van het gedistribueerde versiebeheersysteem Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 en 2.30.8 zijn gepubliceerd, waarin twee kwetsbaarheden zijn verholpen die optimalisaties tijdens lokaal klonen en de 'git apply'-opdracht aantasten. Het is mogelijk om wijzigingen in pakketuitgaven in de distributies te volgen op de pagina's van Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Als het niet mogelijk is om de update te installeren, wordt aanbevolen om de 'git clone'-bewerking met de optie '--recurse-submodules' te vermijden voor niet-vertrouwde repositories, en ook de commando's 'git apply' en 'git am' niet te gebruiken met onbetrouwbare code.
- De kwetsbaarheid CVE-2023-22490 stelt een aanvaller die de inhoud van de te klonen repository beheert, in staat om toegang te krijgen tot vertrouwelijke gegevens op het systeem van de gebruiker. Twee tekortkomingen dragen bij aan het ontstaan van de kwetsbaarheid:
De eerste tekortkoming maakt het mogelijk om, bij het werken met een speciaal ontworpen repository, lokale kloonoptimalisaties toe te passen, zelfs wanneer gebruik wordt gemaakt van transport dat met externe systemen interageert.
De tweede tekortkoming staat het plaatsen van een symbolische link in plaats van de $GIT_DIR/objects map toe, vergelijkbaar met de kwetsbaarheid CVE-2022-39253, waarbij het plaatsen van symbolische links in de $GIT_DIR/objects map werd geblokkeerd, maar niet gecontroleerd werd of de $GIT_DIR/objects map zelf een symbolische link kan zijn.
Bij lokaal klonen verplaatst git de $GIT_DIR/objects naar de doellocatie, waarbij symbolische links worden afgebroken, wat ertoe leidt dat de daadwerkelijke bestanden waar de links naar verwijzen in de doellocatie worden gekopieerd. Overschakelen naar het toepassen van lokale kloonoptimalisaties voor niet-lokale transportmiddelen stelt de kwetsbaarheid in staat bij het werken met externe repositories (bijvoorbeeld kan het recursief opnemen van submodules met de opdracht 'git clone --recurse-submodules' leiden tot het klonen van een kwaadaardige repository verpakt als een submodule in een andere repository).
- De kwetsbaarheid CVE-2023-23946 stelt gebruikers in staat om de inhoud van bestanden buiten de werkdirectory te overschrijven door zorgvuldig opgemaakte invoer naar de 'git apply' opdracht te sturen. Een aanval kan bijvoorbeeld worden uitgevoerd bij het verwerken van door een aanvaller voorbereide patches in 'git apply'. Om het maken van bestanden buiten de werkkopie door patches te blokkeren, verhindert 'git apply' de verwerking van patches die proberen een bestand met behulp van symbolische links te schrijven. Deze bescherming bleek echter te omzeilen door eerst een symbolische link te creƫren.
Bron: opennet.ru
