Git 2.35.2-utgjeving med sikkerhetsfikser

Korrigerende utgivelser av den distribuerte versjonen av kildekodehåndteringssystemet Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 og 2.34.2 er publisert, der to sikkerhetssårbarheter er rettet:

• CVE-2022-24765 — i flerbrukersystemer med delte kataloger er det oppdaget en mulighet for å gjennomføre angrep som fører til utførelse av kommandoer definert av en annen bruker. Angriperen kan opprette katalogen «.git» på steder som overlapper med andre brukere (for eksempel i delte kataloger eller kataloger med midlertidige filer) og legge inn en konfigurasjonsfil «.git/config» med innstillinger for behandlere som blir kalt når bestemte git-kommandoer kjøres (for eksempel kan parameteret core.fsmonitor brukes for å gjennomføre kodekjøring).

  Behandlere definert i «.git/config» vil bli kalt med rettighetene til en annen bruker, hvis denne brukeren bruker git i en katalog som ligger over nivået til den underkatalogen «.git» som angriperen har opprettet. Dette kan også skje indirekte, for eksempel når man bruker kode-redigerere med git-støtte, som VS Code og Atom, eller ved bruk av utvidelser som kjører «git status» (for eksempel Git Bash eller posh-git). I Git 2.35.2 er sårbarheten blokkert ved endringer i logikken for å søke etter «.git» i undermapper (katalogen «.git» blir nå ignorert hvis den tilhører en annen bruker).

• CVE-2022-24767 — en Windows-spesifikk sårbarhet som muliggjør kjøring av kode med SYSTEM-rettigheter når avinstallasjonsoperasjonen (Uninstall) av Git for Windows-programmet kjøres. Problemet skyldes at avinstalleringsprogrammet kjøres i en midlertidig katalog som er skrivbar av systembrukere. Angrepet gjennomføres ved å plassere erstatnings-DLL-er i den midlertidige katalogen, som blir lastet inn når avinstalleringsprogrammet kjøres med SYSTEM-rettigheter.

Kilde: opennet.ru