Korrigerende utgivelser av det distribuerte kildekontrollsystemet Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 og 2.30.8 har blitt publisert, som fikser to sårbarheter som påvirker optimaliseringer for lokal kloning og "git application"-kommandoen. Du kan spore utgivelsen av pakkeoppdateringer i distribusjoner på sidene til Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Hvis det ikke er mulig å installere oppdateringen, anbefales det som en løsning å unngå å utføre "git clone"-operasjonen med alternativet "--recurse-submodules" på ikke-klarerte repositories, og å unngå å bruke "git application" og " git am"-kommandoer på uklarerte arkiver. kode.
- CVE-2023-22490-sårbarheten lar en angriper som kontrollerer innholdet i et klonet depot få tilgang til sensitive data på brukerens system. To feil bidrar til fremveksten av sårbarhet:
Den første feilen gjør det mulig, når du arbeider med et spesialdesignet depot, å oppnå bruk av lokale kloningsoptimaliseringer selv når du bruker en transport som samhandler med eksterne systemer.
Den andre feilen tillater plassering av en symbolsk lenke i stedet for $GIT_DIR/objects-katalogen, som ligner på sårbarheten CVE-2022-39253, reparasjonen som blokkerte plassering av symbolske lenker i $GIT_DIR/objects-katalogen, men ikke sjekk at selve katalogen $GIT_DIR/objects kan være en symbolsk lenke.
I lokal kloningsmodus overfører git $GIT_DIR/objects til målkatalogen ved å avreferere symbolkoblingene, noe som fører til at de direkte refererte filene blir kopiert til målkatalogen. Bytte til bruk av lokale kloningsoptimaliseringer for ikke-lokal transport tillater utnyttelse av sårbarheter når du arbeider med eksterne depoter (for eksempel kan rekursivt inkludere submoduler med kommandoen "git clone —recurse-submodules" føre til kloning av et skadelig depot pakket som en undermodul i et annet depot).
- Sårbarhet CVE-2023-23946 gjør at innholdet i filer utenfor arbeidskatalogen kan overskrives ved å sende spesiallaget inndata til "git apply"-kommandoen. For eksempel kan et angrep utføres under behandlingen av patcher utarbeidet av en angriper i "git application". For å blokkere patcher fra å lage filer utenfor arbeidskopien, blokkerer "git apply" behandling av patcher som forsøker å skrive en fil ved hjelp av symbolkoblinger. Men det viser seg at denne beskyttelsen kan omgås ved å opprette en symbolsk kobling i utgangspunktet.
Kilde: opennet.ru