Objavljene so popravne različice distribuiranega sistema za upravljanje izvornih kode Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 in 2.34.2, v katerih so bile odpravljene dve ranljivosti:
- CVE-2022-24765 — v večuporabniških sistemih s skupnimi imeniki je bila odkrita možnost izpeljave napada, ki lahko povzroči zagon ukazov, določenih z drugim uporabnikom. Napadalec lahko ustvari imenik „.git“ na mestih, ki se prekrivajo z drugimi uporabniki (na primer v skupno rabljenih imenikih ali imenikih s začasnimi datotekami) in vanj postavi konfiguracijsko datoteko „.git/config“ z nastavitvami obdelovalnikov, ki se izvajajo pri izvajanju določenih ukazov git (na primer lahko se uporabi parameter core.fsmonitor za organizacijo izvajanja kode).
Obdelovalniki, določeni v „.git/config“, bodo klicani s pravicami drugega uporabnika, če ta uporabnik uporabi git v imeniku, ki je višji od imenika „.git“, ki ga je ustvaril napadalec. Klic se lahko izvede tudi posredno, na primer pri uporabi programov za urejanje kode, ki podpirajo git, kot sta VS Code in Atom, ali pri uporabi vtičnikov, ki izvajajo „git status“ (na primer Git Bash ali posh-git). V različici Git 2.35.2 je bila ranljivost zablokirana s spremembami logike iskanja „.git“ v podrejenih imenikih (imenik „.git“ se zdaj ne upošteva, če pripada drugemu uporabniku).
- CVE-2022-24767 — ranljivost specifična za platformo Windows, ki omogoča izvajanje kode s privilegiji SYSTEM med izvajanjem operacije odstranitve (Uninstall) programa Git for Windows. Težava izhaja iz dejstva, da se program za odstranjevanje zažene v začasnem imeniku, ki je dostopen za pisanje uporabnikom sistema. Napad poteka preko namestitve nadomestnih DLL v začasni imenik, ki bodo naloženi ob zagonu odstranjevalca s pravicami SYSTEM.
Izvor: opennet.ru
