Opublikowano poprawki w rozproszonej systemie zarządzania kodem źródłowym Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 i 2.34.2, w których usunięto dwie luki bezpieczeństwa:
- CVE-2022-24765 — w systemach wieloużytkownikowych z współdzielonymi katalogami zidentyfikowano możliwość przeprowadzenia ataku, prowadzącego do uruchomienia poleceń zdefiniowanych przez innego użytkownika. Napastnik może utworzyć katalog „.git” w miejscach kolidujących z innymi użytkownikami (na przykład w współdzielonych katalogach lub katalogach z plikami tymczasowymi) i umieścić w nim plik konfiguracyjny „.git/config” z ustawieniami wywoływaczy uruchamianych podczas wykonywania poleceń git (na przykład do uruchamiania kodu można wykorzystać parametr core.fsmonitor).
Wywołane w „.git/config” wywoływacze będą uruchamiane z uprawnieniami innego użytkownika, jeśli użytkownik ten skorzysta z git w katalogu położonym poziom wyżej niż stworzony przez napastnika podkatalog „.git”. W szczególności wywołanie może być wykonane pośrednio, na przykład przy użyciu edytorów kodu wspierających git, takich jak VS Code i Atom, lub przy zastosowaniu wtyczek uruchamiających „git status” (na przykład Git Bash lub posh-git). W wersji Git 2.35.2 luka została zablokowana dzięki zmianom w logice wyszukiwania „.git” w poniższych katalogach (katalog „.git” nie jest już brany pod uwagę, jeśli należy do innego użytkownika).
- CVE-2022-24767 — specyficzna dla platformy Windows luka, która umożliwia przeprowadzenie ataku wykonania kodu z uprawnieniami SYSTEM podczas uruchamiania operacji usuwania (Uninstall) programu Git for Windows. Problem wynika z faktu, że program usuwania uruchamiany jest w tymczasowym katalogu, dostępnym do zapisu dla użytkowników systemu. Atak przeprowadzany jest poprzez umieszczenie zastępczych DLL w tymczasowym katalogu, które będą ładowane podczas uruchamiania uninstalera z uprawnieniami SYSTEM.
Źródło: opennet.ru
