{"id":103775,"date":"2022-04-13T03:37:00","date_gmt":"2022-04-13T01:37:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej"},"modified":"2022-04-13T03:37:00","modified_gmt":"2022-04-13T01:37:00","slug":"vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/news\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","title":{"rendered":"Git 2.35.2-utgjeving med sikkerhetsfikser","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Korrigerende utgivelser av den distribuerte versjonen av kildekodeh\u00e5ndteringssystemet Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 og 2.34.2 er publisert, der to sikkerhetss\u00e5rbarheter er rettet: <\/p>\n
\n
CVE-2022-24765 \u2014 i flermedlemskapssystemer med delte kataloger er det avdekket en mulighet for \u00e5 utf\u00f8re et angrep som f\u00f8rer til at kommandoer, spesifisert av en annen bruker, kj\u00f8res. Angriperen kan opprette katalogen \u00ab.git\u00bb p\u00e5 steder som overlapper med andre brukere (for eksempel i delte kataloger eller kataloger med midlertidige filer) og legge en konfigurasjonsfil \u00ab.git\/config\u00bb i den, med innstillinger for h\u00e5ndterere som kalles ved utf\u00f8ring av forskjellige git-kommandoer (for eksempel kan parameteren core.fsmonitor brukes for \u00e5 organisere kj\u00f8ring av kode).\n
H\u00e5ndterere definert i \u00ab.git\/config\u00bb vil bli kalt med rettigheter fra en annen bruker, hvis denne brukeren benytter git i en katalog som ligger et niv\u00e5 over angrepens underkatalog \u00ab.git\u00bb. Kallet kan ogs\u00e5 foretas indirekte, for eksempel ved bruk av kode redakt\u00f8rer som st\u00f8tter git, som VS Code og Atom, eller ved bruk av utvidelser som kj\u00f8rer \u00abgit status\u00bb (for eksempel Git Bash eller posh-git). I versjon Git 2.35.2 er s\u00e5rbarheten blokkert gjennom endringer i logikken for s\u00f8k av \u00ab.git\u00bb i underordnede kataloger (katalogen \u00ab.git\u00bb blir n\u00e5 ikke vurdert hvis den tilh\u00f8rer en annen bruker). <\/p>\n
CVE-2022-24767 \u2014 en Windows-spesifikk s\u00e5rbarhet som tillater kj\u00f8ring av kode med SYSTEM-rettigheter n\u00e5r avinstalleringsoperasjonen (Uninstall) for Git for Windows startes. Problemet oppst\u00e5r fordi avinstalleringsprogrammet kj\u00f8res i en midlertidig katalog som er skrivebeskyttet for systembrukere. Angrepet gjennomf\u00f8res ved \u00e5 plassere erstatnings DLL-er i den midlertidige katalogen, som vil bli lastet ved oppstart av avinstalleringsprogrammet med SYSTEM-rettigheter. <\/ul>\n