En kritisk sårbarhet er identifisert i Git (CVE-2021-29468), som vises kun når du bygger for Cygwin-miljøet (et bibliotek for å emulere det grunnleggende Linux API på Windows og et sett med standard Linux-programmer for Windows). Sårbarheten gjør at angriperkode kan kjøres når data hentes ("git checkout") fra et depot kontrollert av angriperen. Problemet er løst i git 2.31.1-2-pakken for Cygwin. I hoved Git-prosjektet er problemet ennå ikke løst (det er usannsynlig at noen bygger git for Cygwin med egne hender, i stedet for å bruke en ferdig pakke).
Sårbarheten er forårsaket av Cygwins behandling av miljøet som et Unix-lignende system i stedet for Windows, noe som resulterer i ingen restriksjoner på bruken av '\'-tegnet i banen, mens i Cygwin, som i Windows, kan dette tegnet være brukes til å skille kataloger. Som et resultat, ved å lage et spesielt modifisert depot som inneholder symbolske lenker og filer med et skråstrektegn, er det mulig å overskrive vilkårlige filer når du laster dette depotet inn i Cygwin (en lignende sårbarhet ble løst i Git for Windows i 2019). Ved å få muligheten til å overskrive filer, kan en angriper overstyre hook-anrop i git og føre til at vilkårlig kode kjøres på systemet.
Kilde: opennet.ru