Korrigerende utgivelser av det distribuerte kildekontrollsystemet Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 og 2.37.4 har blitt publisert, som fikser to sårbarheter , som vises når du bruker "git clone"-kommandoen i "—recurse-submodules"-modusen med ukontrollerte repositories og når du bruker den interaktive "git shell"-modusen. Du kan spore utgivelsen av pakkeoppdateringer i distribusjoner på sidene til Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
- CVE-2022-39253 – Sårbarheten lar en angriper som kontrollerer innholdet i det klonede depotet få tilgang til konfidensielle data på brukerens system ved å plassere symbolske lenker til filer av interesse i katalogen $GIT_DIR/objects i det klonede depotet. Problemet vises bare ved kloning lokalt (i "--local"-modus, brukt når mål- og kildedataene til klonen er i samme partisjon) eller ved kloning av et skadelig depot pakket som en undermodul i et annet depot (f.eks. når rekursivt inkluderer undermoduler med "git clone"-kommandoen --recurse-submodules").
Sårbarheten er forårsaket av det faktum at i "--local" kloningsmodus overfører git innholdet av $GIT_DIR/objekter til målkatalogen (oppretter harde lenker eller kopier av filer), og utfører dereferering av symbolske lenker (dvs. et resultat blir ikke-symbolske lenker kopiert til målkatalogen , men direkte filene som koblingene peker til). For å blokkere sårbarheten, forbyr nye utgivelser av git kloning av depoter i «--local»-modus som inneholder symbolske lenker i katalogen $GIT_DIR/objects. I tillegg er standardverdien til protocol.file.allow-parameteren endret til "bruker", noe som gjør kloningsoperasjoner med file://-protokollen utrygge.
- CVE-2022-39260 - Heltallsoverflyt i split_cmdline()-funksjonen brukt i "git shell"-kommandoen. Problemet kan brukes til å angripe brukere som har "git shell" som påloggingsskall og har interaktiv modus aktivert (en $HOME/git-shell-commands-fil er opprettet). Utnyttelse av sårbarheten kan føre til kjøring av vilkårlig kode på systemet ved sending av en spesialdesignet kommando som er større enn 2 GB.
Kilde: opennet.ru