{"id":106404,"date":"2023-01-19T06:48:10","date_gmt":"2023-01-19T04:48:10","guid":{"rendered":"https:\/\/prohoster.info\/?p=106404"},"modified":"2023-01-19T14:02:40","modified_gmt":"2023-01-19T12:02:40","slug":"dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/dve-uyazvimosti-v-git-sposobnye-privesti-k-udalyonnomu-vypolneniyu-koda","title":{"rendered":"Twee kwetsbaarheden in Git die kunnen leiden tot remote code execution.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Correctieve uitgaven van het gedistribueerde broncodebeheersysteem Git 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 en 2.30.7 zijn uitgebracht, waarin twee kwetsbaarheden zijn verholpen die het mogelijk maken om eigen code op het systeem van de gebruiker uit te voeren bij het gebruik van de opdracht «git archive» en het werken met onbetrouwbare externe repositories. De kwetsbaarheden zijn veroorzaakt door fouten in de opmaak van commits en de parser voor het bestand «.gitattributes», die bij het verwerken van externe repositories kan leiden tot schrijven naar geheugengebieden buiten de heap en het lezen van willekeurige gegevens uit het geheugen. <\/p>\n
Beide kwetsbaarheden werden ontdekt tijdens een beveiligingsaudit van de Git-codebase, uitgevoerd door het bedrijf X41 in opdracht van de OSTIF (Open Source Technology Improvement Fund), dat is opgericht om de veiligheid van open source-projecten te verbeteren. Naast de twee hieronder besproken kritieke problemen werd tijdens de audit ook \u00e9\u00e9n ernstige kwetsbaarheid, \u00e9\u00e9n kwetsbaarheid van gemiddelde ernst en vier niet-kritieke problemen gevonden. Daarnaast werden 27 aanbevelingen gedaan voor het verbeteren van de veiligheid van de codebase. <\/p>\n
\n
CVE-2022-41903: gehele getalinvoer in de code voor het formatteren van commit-informatie, die optreedt bij het verwerken van grote waarden voor offset in vul-op operators zoals «%<(«, «%«, «%>>(» en «%><(». Gehele getalinvoer treedt op in de functie format_and_pad_commit() door het gebruik van het type int voor de variabele size_t, die bij het aanroepen van memcpy() betrokken is bij het bepalen van de grootte van de offset van het te kopi\u00ebren blok.\n
De kwetsbaarheid doet zich voor zowel bij directe aanroep met speciaal opgemaakte formatteringsparameters (bijvoorbeeld bij het uitvoeren van «git log —format=…») als bij indirecte toepassing van formatting tijdens de uitvoering van de opdracht «git archive» in een repository die onder controle van de aanvaller staat. In het tweede geval worden formatteringsmodifiers gedefinieerd via de parameter export-subst in het bestand «.gitattributes», dat door de aanvaller in zijn repository kan worden geplaatst. Het probleem kan worden gebruikt om willekeurige gebieden in de heap te lezen en te schrijven en kan leiden tot de uitvoering van code van de aanvaller bij het werken met niet-geverifieerde repositories. <\/p>\n
CVE-2022-23521: gehele getalinvoer bij het parseren van de inhoud van «.gitattributes» bestanden in de repository die zich manifesteert bij het verwerken van een zeer groot aantal bestandsjabloonpatronen of een groot aantal attributen met \u00e9\u00e9n sjabloon, evenals bij het parseren van zeer grote attributenamen. Het probleem kan worden gebruikt om willekeurige gebieden in de heap te lezen en te schrijven en kan leiden tot de uitvoering van code van de aanvaller bij het werken met een niet-geverifieerde repository, waarin de aanvaller een speciaal opgemaakt bestand .gitattributes kan plaatsen en ervoor kan zorgen dat deze in de index terechtkomt. <\/ul>\n
Updates van pakketten in distributies kunnen worden gevolgd op de pagina's: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. Om het risico van een aanval te verminderen bij de onmogelijkheid om tijdig een update te installeren, wordt aangeraden om te vermijden te werken met onbetrouwbare repositories en het gebruik van het commando [git archive] te vermijden. Het is belangrijk om te onthouden dat het commando [git archive] impliciet kan worden uitgevoerd, bijvoorbeeld vanuit git daemon. Om het uitvoeren van [git archive] in git daemon uit te schakelen, moet de parameter daemon.uploadArch worden gewijzigd met het commando [git config --global daemon.uploadArch false]. <\/p>\n
Daarnaast kan nog een kwetsbaarheid (CVE-2022-41953) in het product Git for Windows worden opgemerkt, die het mogelijk maakt om code uit te voeren bij het klonen via de grafische interface van onbeveiligde externe repositories. Het probleem ontstaat doordat Git GUI voor Windows na de operatie [checkout] automatisch enkele post-processing opdrachten uitvoert, zoals het uitvoeren van het spellingscontroleprogramma, terwijl de zoekpaden voor het spellingscontrolebestand ook het geklonen werkgebied omvatten (de aanval komt neer op het toevoegen van spell-check aan het werkgebied van de repository). \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"