Foi descoberta uma vulnerabilidade crítica no Git (CVE-2021-29468), que se manifesta apenas ao compilar para o ambiente Cygwin (uma biblioteca para emular a API básica do Linux no Windows e um conjunto de programas typicos do Linux para Windows). A vulnerabilidade permite que um código malicioso seja executado ao extrair dados (‘git checkout’) de um repositório controlado pelo atacante. O problema foi corrigido no pacote git 2.31.1-2 para Cygwin. No projeto principal do Git, o problema ainda não foi resolvido (é pouco provável que alguém compile o git manualmente para o Cygwin em vez de usar um pacote pré-fabricado).
A vulnerabilidade é causada pelo tratamento do ambiente Cygwin como um sistema semelhante ao Unix, e não ao Windows, o que leva à ausência de restrições no uso do caractere ‘\’ no caminho, enquanto no Cygwin, assim como no Windows, esse caractere pode ser usado para separar diretórios. Assim, através da criação de um repositório modificado especificamente, contendo links simbólicos e arquivos com o caractere de barra invertida, é possível alcançar a sobrescrita de arquivos arbitrários ao carregar este repositório no Cygwin (no Git para Windows, uma vulnerabilidade semelhante foi corrigida em 2019). Ao ter a capacidade de sobrescrever arquivos, o atacante pode redefinir chamadores de hooks no git e alcançar a execução de código arbitrário no sistema.
Fonte: opennet.ru
