Objavljene so bile popravne izdaje porazdeljenega sistema za nadzor vira Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 in 2.34.2, ki odpravljajo dve ranljivosti:
- CVE-2022-24765 – V večuporabniških sistemih z imeniki v skupni rabi je bil ugotovljen napad, ki bi lahko vodil do izvajanja ukazov, ki jih določi drug uporabnik. Napadalec lahko ustvari imenik ».git« na mestih, ki se prekrivajo z drugimi uporabniki (na primer v imenikih v skupni rabi ali imenikih z začasnimi datotekami) in vanj postavi konfiguracijsko datoteko ».git/config« s konfiguracijo rokovalcev, ki se kličejo, ko nekatere naloge se izvajajo ukazi git (na primer, lahko uporabite parameter core.fsmonitor za organiziranje izvajanja kode).
Obdelovalci, definirani v ».git/config«, bodo poklicani s pravicami drugega uporabnika, če ta uporabnik uporablja git v imeniku, ki se nahaja na višji ravni od podimenika ».git«, ki ga je ustvaril napadalec. Klic je mogoče izvesti tudi posredno, na primer pri uporabi urejevalnikov kode, ki podpirajo git, kot sta VS Code in Atom, ali pri uporabi dodatkov, ki izvajajo »git status« (na primer Git Bash ali posh-git). V Git 2.35.2 je bila ranljivost blokirana s spremembami logike za iskanje ».git« v osnovnih imenikih (imenik ».git« se zdaj ne upošteva, če je v lasti drugega uporabnika).
- CVE-2022-24767 je ranljivost, specifična za platformo Windows, ki omogoča izvajanje kode s SISTEMSKIMI privilegiji med izvajanjem operacije odstranitve programa Git za Windows. Težavo povzroča dejstvo, da se program za odstranjevanje izvaja v začasnem imeniku, v katerega lahko zapisujejo uporabniki sistema. Napad se izvede tako, da se nadomestni DLL-ji postavijo v začasni imenik, ki se naloži, ko se program za odstranjevanje zažene s SYSTEM pravicami.
Vir: opennet.ru