Atualização do Git com correção de 8 vulnerabilidades

Publicado Atualizações corretivas do sistema de controle de versões distribuído Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 e 2.14.6.2.24.1, nas quais foram corrigidas vulnerabilidades que permitiam que um atacante reescrevesse caminhos arbitrários no sistema de arquivos, organizasse a execução remota de código ou sobrescrevesse arquivos no diretório '.git/'. A maioria dos problemas foi identificada pelos funcionários do Microsoft Security Response Center, cinco das oito vulnerabilidades são específicas para a plataforma Windows.
CVE-2019-1348

• — o comando de fluxo 'feature export-marks=path' gravou marcas em diretórios arbitrários, o que poderia ser usado para reescrever caminhos arbitrários no FS ao executar a operação 'git fast-import' com entradas não verificadas.permite CVE-2019-1350
• — baixa correta na escape de argumentos de linha de comando poderia ter levado à execução remota de código do atacante durante o clone recursivo usando a URL ssh://. Em particular, a escape de argumentos que terminavam em uma barra invertida (por exemplo, 'test \') não era tratada corretamente. Nesse caso, ao envolver o argumento em aspas duplas, a última aspa ficava escapada, permitindo a substituição de suas opções na linha de comando. CVE-2019-1349
• — ao clonar recursivamente submódulos ('clone --recurse-submodules') em um ambiente Windows sob certas condições podia ser iniciado o uso de um diretório git duas vezes (.git, git~1, git~2 e git~N no NTFS são reconhecidos como um diretório, mas essa situação era verificada apenas para git~1), o que poderia ser utilizado para organizar a gravação no diretório '.git'. Para executar seu código, o atacante poderia, por exemplo, inserir seu script através do manipulador post-checkout no arquivo .git/config. CVE-2019-1351
• — o manipulador de nomes de unidades nos caminhos do Windows ao traduzir caminhos do tipo 'C:\' foi projetado apenas para substituição de identificadores latinos de uma letra, mas não considerava a possibilidade de criação de unidades virtuais designadas através de 'subst letra: caminho'. Esses caminhos eram tratados como caminhos relativos, não absolutos, permitindo que, ao clonar um repositório malicioso, a gravação ocorresse em um diretório arbitrário fora da árvore de diretórios de trabalho (por exemplo, ao usar números ou caracteres unicode no nome da unidade — '1:\o\que\é\hex.txt' ou 'ä:\tschibät.sch'). CVE-2019-1352
• CVE-2019-1352 — ao trabalhar na plataforma Windows, a utilização de fluxos de dados alternativos no NTFS, criados através da adição do marcador «:stream-name:stream-type» ao nome do arquivo, permitiu sobrescrever arquivos no diretório «.git/» ao clonar um repositório malicioso. Por exemplo, o nome «.git::$INDEX_ALLOCATION» no NTFS era tratado como um link válido para o diretório «.git».
• CVE-2019-1353 — ao usar o Git no ambiente WSL (Windows Subsystem for Linux) ao acessar o diretório de trabalho não era aplicada proteção contra manipulação de nomes no NTFS (eram possíveis ataques através de tradução de nomes FAT, por exemplo, era possível acessar «.git» através do diretório «git~1»).
• CVE-2019-1354 —
  a possibilidade escritas no diretório «.git/» na plataforma Windows ao clonar repositórios maliciosos que contêm arquivos com uma barra invertida no nome (por exemplo, «a\b»), que é permitido no Unix/Linux, mas é interpretado como parte do caminho no Windows.
• CVE-2019-1387 — a verificação inadequada dos nomes dos submódulos poderia ser usada para organizar ataques direcionados, que ao clonar recursivamente poderiam potencialmente levar à execução de código do atacante. O Git não impedia a criação do diretório do submódulo dentro do diretório de outro submódulo, o que na maioria dos casos apenas poderia causar confusão, mas potencialmente não exclui a sobrescrição do conteúdo de outro módulo durante o processo de clonagem recursiva (por exemplo, os diretórios dos submódulos «hippo» e «hippo/hooks» são armazenados como «.git/modules/hippo/» e «.git/modules/hippo/hooks/», e o diretório hooks em hippo pode ser utilizado separadamente para armazenar manipuladores executáveis.

Os usuários do Windows são aconselhados a atualizar urgentemente a versão do Git, e até a atualização, evitar clonar repositórios não verificados. Se não for possível atualizar urgentemente a versão do Git, para reduzir o risco de ataque, recomenda-se não executar «git clone —recurse-submodules» e «git submodule update» com repositórios não verificados, não usar «git fast-import» com fluxos de entrada não verificados e não clonar repositórios em partições baseadas em NTFS.

Para proteção adicional, as novas versões também proíbem o uso em .gitmodules de construções na forma «submodule.{name}.update=!command». Para distribuições, você pode acompanhar o lançamento de atualizações de pacotes nas páginas Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Fonte: opennet.ru