Popravki za distribuirani sistem upravljanja izvorno kodo Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 in 2.14.6 odpravljajo ranljivosti, ki omogočajo napadalcu prepisovanje poljubnih poti v datotečnem sistemu, oddaljen zagon kode ali prepisovanje datotek v imeniku „.git/“. Večina težav je bila odkrita s strani
Microsoft Security Response Center, pet od osmih ranljivosti je specifičnih za platformo Windows.
- — ukazni tok „feature export-marks=path“ lahko zapiše oznake v poljubne imenike, kar se lahko uporabi za prepisovanje poljubnih poti v FS pri izvajanju operacije „git fast-import“ s preverjenimi vhodnimi podatki.
- — nepravilno kodiranje argumentov ukazne vrstice do oddaljenega izvajanja kode napadalca pri rekurzivnem kloniranju z uporabo URL ssh://. Zlasti nepravilno je bilo obravnavano kodiranje argumentov, ki se končujejo z obratno poševnico (na primer „test \“). V tem primeru, če je bil argument obdan s kovinskimi narekovaji, je bil zadnji narekovaj kodiran, kar je omogočilo zamenjavo svojih možnosti v ukazni vrstici.
- — pri rekurzivnem kloniranju podmodulov („clone —recurse-submodules“) v okolju Windows pod določenimi pogoji iniciirati uporabo enega git-imenika dvakrat (.git, git~1, git~2 in git~N v NTFS prepoznano kot en imenik, vendar je bila ta situacija preverjena le za git~1), kar bi se lahko uporabilo za zapisovanje v imenik „.git“. Da bi izvedel svojo kodo, lahko napadalec na primer doda svoj skript prek obdelovalca post-checkout v datoteki .git/config.
- — obdelovalec črkovnih imen diskov v poteh Windows pri prevajanju poti tipa „C:\“ je bil zasnovan le za zamenjavo enobčrkovnih latinskih identifikatorjev, vendar ni upošteval možnosti ustvarjanja virtualnih diskov, dodeljenih prek „subst črka:pot“. Takšne poti so se obravnavale kot relativne poti, kar je omogočilo pri kloniranju zlonamernega repozitorija organizacijo zapisa v poljubni imenik izven delovne mape (na primer pri uporabi številk ali unicode-simbolov v imenu diska — „1:\what\the\hex.txt“ ali „ä:\tschibät.sch“).
- — pri delu na platformi Windows je uporaba alternativnih podatkovnih tokov v NTFS, ki se ustvarjajo z dodajanjem oznake „:stream-name:stream-type“ imenu datoteke, prepisovanje datotek v imeniku „.git/“ pri kloniranju zlonamernega repozitorija. Na primer, ime „.git::$INDEX_ALLOCATION“ v NTFS se obravnava kot veljavna povezava na imenik „.git“.
- — pri uporabi Gita v okolju WSL (Windows Subsystem for Linux) pri dostopu do delovnega imenika zaščita pred manipulacijo imen v NTFS (napadi preko prevajanja imen FAT so bili mogoči, na primer, do „.git“ se je bilo mogoče obrniti preko imenika „git~1“).
- —
zapisovanju v imenik „.git/“ na platformi Windows pri kloniranju zlonamernih repozitorijev, ki vsebujejo datoteke z obrnjenim poševniko v imenu (na primer, „a\b“), kar je dovoljeno v Unixu/Linuxu, a se v Windowsu obravnava kot del poti. - — nezadostna preverba imen podmodulov bi se lahko uporabljala za izvajanje ciljnih napadov, ki bi pri rekurzivnem kloniranju potencialno do izvajanja kode napadalca. Git ni preprečil ustvarjanja imenika podmodula znotraj imenika drugega podmodula, kar v večini primerov lahko le povzroči zmedo, vendar potencialno ne izključi prepisovanja vsebine drugega modula med rekurzivnim kloniranjem (na primer, imeniki podmodulov „hippo“ in „hippo/hooks“ so nameščeni kot „.git/modules/hippo/“ in „.git/modules/hippo/hooks/“, imenik hooks v hippo pa se lahko ločeno uporablja za umestitev izvršnih obdelovalnikov.
Uporabnikom Windows se priporoča, da takoj posodobijo različico Gita, do posodobitve pa naj se vzdržijo kloniranja nepreverjenih repozitorijev. Če trenutna posodobitev Gita ni mogoča, se za zmanjšanje tveganja napada priporoča, da ne izvajajo „git clone —recurse-submodules“ in „git submodule update“ z nepreverjenimi repozitoriji, ter da ne uporabljajo „git fast-import“ z nepreverjenimi vhodnimi tokovi in ne klonirajo repozitorijev v NTFS podmape.
Za dodatno zaščito so v novih izdajah prav tako prepovedane uporabe v .gitmodules konstrukcij v obliki „submodule.{ime}.update=!ukaz“. Za distribucije lahko spremljate izdaje posodobitev paketov na straneh ,, , , , , , .
Izvor: opennet.ru
