Boli zverejnené opravné vydania distribuovaného zdrojového riadiaceho systému Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 a 2.34.2, ktoré opravujú dve zraniteľnosti:
- CVE-2022-24765 – Na systémoch s viacerými používateľmi so zdieľanými adresármi bol identifikovaný útok, ktorý by mohol viesť k vykonaniu príkazov definovaných iným používateľom. Útočník môže vytvoriť adresár „.git“ na miestach, ktoré sa prekrývajú s inými používateľmi (napríklad v zdieľaných adresároch alebo adresároch s dočasnými súbormi) a umiestniť doň konfiguračný súbor „.git/config“ s konfiguráciou obslužných programov volaných pri niektoré úlohy sa vykonávajú.príkazy git (napríklad na organizáciu vykonávania kódu môžete použiť parameter core.fsmonitor).
Obslužné programy definované v „.git/config“ budú volané s právami iného používateľa, ak tento používateľ používa git v adresári umiestnenom na vyššej úrovni ako podadresár „.git“ vytvorený útočníkom. Volanie možno uskutočniť aj nepriamo, napríklad pri použití editorov kódu, ktoré podporujú git, ako sú VS Code a Atom, alebo pri použití doplnkov, ktoré spúšťajú „stav git“ (napríklad Git Bash alebo posh-git). V Git 2.35.2 bola zraniteľnosť zablokovaná zmenami v logike vyhľadávania „.git“ v základných adresároch (adresár „.git“ sa teraz neberie do úvahy, ak ho vlastní iný používateľ).
- CVE-2022-24767 je zraniteľnosť špecifická pre platformu Windows, ktorá umožňuje spustenie kódu s oprávneniami SYSTEM pri spustení operácie Uninstall programu Git for Windows. Problém je spôsobený skutočnosťou, že odinštalačný program beží v dočasnom adresári, do ktorého môžu zapisovať používatelia systému. Útok sa vykonáva umiestnením náhradných knižníc DLL do dočasného adresára, ktorý sa načíta pri spustení odinštalačného programu so SYSTEM právami.
Zdroj: opennet.ru