Foram publicados lançamentos corretivos dos sistemas de controle de versão distribuídos Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 e 2.34.2, que corrigem duas vulnerabilidades:
- CVE-2022-24765 — em sistemas multiusuário com diretórios compartilhados, foi identificada a possibilidade de um ataque que leva à execução de comandos definidos por outro usuário. O atacante pode criar um diretório «.git» em locais que se sobrepõem a outros usuários (por exemplo, em diretórios compartilhados ou diretórios com arquivos temporários) e colocar um arquivo de configuração «.git/config» com configurações de manipuladores que são ativados ao executar certos comandos git (por exemplo, para executar código, pode-se usar o parâmetro core.fsmonitor).
Os manipuladores definidos em «.git/config» serão chamados com os privilégios de outro usuário, caso esse usuário utilize git em um diretório localizado um nível acima do subdiretório «.git» criado pelo atacante. Isso pode ocorrer indiretamente, por exemplo, ao usar editores de código que suportam git, como VS Code e Atom, ou ao aplicar extensões que executam «git status» (por exemplo, Git Bash ou posh-git). Na versão Git 2.35.2, a vulnerabilidade foi bloqueada através de mudanças na lógica de busca por «.git» em diretórios descendentes (o diretório «.git» agora não é considerado se pertence a outro usuário).
- CVE-2022-24767 — uma vulnerabilidade específica da plataforma Windows que permite a execução de código com privilégios de SYSTEM ao iniciar a operação de desinstalação (Uninstall) do programa Git para Windows. O problema é causado pelo fato de que o programa de desinstalação é executado em um diretório temporário acessível para gravação pelos usuários do sistema. O ataque ocorre através da colocação de DLLs substitutivas no diretório temporário, que serão carregadas ao iniciar o desinstalador com privilégios de SYSTEM.
Fonte: opennet.ru
