Correcties zijn gepubliceerd voor de gedistribueerde broncodebeheersysteem Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 en 2.34.2, waarin twee kwetsbaarheden zijn opgelost:
- CVE-2022-24765 — op multi-user systemen met gedeelde mappen is een kwetsbaarheid ontdekt die het mogelijk maakt om aanvallen uit te voeren die leiden tot het uitvoeren van commando's die door een andere gebruiker zijn gedefinieerd. Een aanvaller kan een map '.git' aanmaken op locaties die overlappen met andere gebruikers (bijvoorbeeld in gedeelde mappen of mappen met tijdelijke bestanden) en daar een configuratiebestand '.git/config' plaatsen met instellingen voor handlers die worden aangeroepen bij het uitvoeren van bepaalde git-commando's (bijvoorbeeld voor het uitvoeren van code kan de parameter core.fsmonitor worden gebruikt).
Handlers die zijn gedefinieerd in '.git/config' worden aangeroepen met de rechten van een andere gebruiker, als deze gebruiker git gebruikt in een map die zich één niveau hoger bevindt dan de door de aanvaller gemaakte submap '.git'. Dit kan ook indirect gebeuren, bijvoorbeeld bij het gebruik van code-editors die git ondersteunen, zoals VS Code en Atom, of bij het gebruik van extensies die 'git status' uitvoeren (bijvoorbeeld Git Bash of posh-git). In Git versie 2.35.2 is de kwetsbaarheid geblokkeerd door wijzigingen in de logica van het zoeken naar '.git' in onderliggende mappen (de map '.git' wordt nu niet in overweging genomen als deze toebehoort aan een andere gebruiker).
- CVE-2022-24767 — een kwetsbaarheid die specifiek is voor het Windows-platform, maakt het mogelijk om code met SYSTEM-rechten uit te voeren bij het uitvoeren van de uninstall-operatie van het programma Git for Windows. Het probleem wordt veroorzaakt doordat het verwijderprogramma wordt uitgevoerd in een tijdelijke map die schrijfbaar is voor systeemgebruikers. De aanval wordt uitgevoerd door vervangende DLL's in de tijdelijke map te plaatsen, die worden geladen wanneer de uninstaller met SYSTEM-rechten wordt gestart.
Bron: opennet.ru
