Er is een kritieke kwetsbaarheid (CVE-2021-29468) ontdekt in Git, die alleen optreedt bij het compileren voor de Cygwin-omgeving (een bibliotheek voor het emuleren van de onderliggende Git-omgeving). Linux API in Windows en een set typische Linux-programma's voor WindowsDe kwetsbaarheid maakt het mogelijk dat een aanvaller code kan uitvoeren bij het ophalen van gegevens ("git checkout") uit een repository die door de aanvaller wordt beheerd. Het probleem is verholpen in het git 2.31.1-2-pakket voor Cygwin. Het probleem is nog niet verholpen in het hoofdproject van Git (het is onwaarschijnlijk dat iemand zelf git voor Cygwin compileert, in plaats van een voorgecompileerd pakket te gebruiken).
De kwetsbaarheid wordt veroorzaakt doordat de Cygwin-omgeving wordt behandeld als een Unix-achtig systeem, in plaats van... Windows, wat resulteert in geen beperkingen op het gebruik van het teken '\' in het pad, terwijl in Cygwin, zoals in WindowsDit symbool kan worden gebruikt om mappen te scheiden. Uiteindelijk is het, door een speciaal aangepaste repository te creëren die symbolische links en bestanden met het backslash-symbool bevat, mogelijk om willekeurige bestanden te overschrijven bij het laden van deze repository in Cygwin (in Git voor Windows Een vergelijkbare kwetsbaarheid werd in 2019 verholpen. Door bestanden te overschrijven, kan een aanvaller hook-aanroepen in Git overrulen en willekeurige code op het systeem uitvoeren.
Bron: opennet.ru
