Bol boli opravené aktualizované verzie distribuovaného systému správy zdrojových kódov Git 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 a 2.30.8, v ktorých boli odstránené dve zraniteľnosti týkajúce sa optimalizácií pri miestnom klonovaní a príkazu „git apply“. Aktuálne aktualizácie balíkov v distribúciách si môžete sledovať na stránkach Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Ak nie je možné nainštalovať aktualizáciu, odporúča sa vyhnúť sa vykonávaniu operácie „git clone“ s voľbou „—recurse-submodules“ z nedôveryhodných repozitárov a tiež nepoužívať príkazy „git apply“ a „git am“ s neovereným kódom.
- Zraniteľnosť CVE-2023-22490 umožňuje útočníkovi, ktorý ovláda obsah klonovaného repozitára, získať prístup k citlivým údajom na systéme používateľa. Vznik zraniteľnosti spôsobujú dve nedostatky:
Prvý nedostatok umožňuje, že pri práci so špeciálne upraveným repozitárom sa dosiahne uplatnenie miestnych optimalizácií klonovania, aj keď sa používa doprava interagujúca s externými systémami.
Druhý nedostatok umožňuje umiestnenie symbolického odkazu namiesto adresára $GIT_DIR/objects, podobne ako pri zraniteľnosti CVE-2022-39253, pri oprave ktorej sa zablokovalo umiestňovanie symbolických odkazov v adresári $GIT_DIR/objects, ale neoverovalo sa, že samotný adresár $GIT_DIR/objects môže byť symbolickým odkazom.
V režime miestneho klonovania git presúva $GIT_DIR/objects do cieľového adresára a rozbíja symbolické odkazy, čo vedie k tomu, že do cieľového adresára sa kopírujú priamo súbory, na ktoré odkazy ukazujú. Prechod na uplatnenie miestnych optimalizácií klonovania pre deložovaný transport umožňuje zneužitie zraniteľnosti pri práci s externými repozitármi (napríklad recursívne zahŕňanie submodulov príkazom „git clone —recurse-submodules“ môže viesť k klonovaniu škodlivého repozitára zabaleného v podobe submodulu v inom repozitári).
- Zraniteľnosť CVE-2023-23946 umožňuje prepísať obsah súborov mimo pracovného adresára prostredníctvom špeciálne upraveného vstupu odoslaného do príkazu „git apply“. Napríklad, útok môže byť vykonaný pri spracovaní v „git apply“ skúšobných patchov, ktoré pripravil útočník. Aby sa zabránilo vytvoreniu patchmi súborov mimo pracovnej kópie, príkaz „git apply“ blokuje spracovanie patchov, ktoré sa pokúšajú zapisovať súbor pomocou symbolických odkazov. Avšak, túto ochranu sa podarilo obísť vytvorením symbolického odkazu na prvom mieste.
Zdroj: opennet.ru
