Två sårbarheter i Git som kan leda till fjärrkodkörning

Korrigerande versioner av det distribuerade versionshanteringssystemet Git 2.39.1, 2.38.3, 2.37.5, 2.36.4, 2.35.6, 2.34.6, 2.33.6, 2.32.5, 2.31.6 och 2.30.7 har publicerats, där två sårbarheter har åtgärdats som kan möjliggöra körning av egen kod på användarsystemet vid användning av kommandot "git archive" och vid arbete med osäkra externa repositorier. Sårbarheterna orsakas av fel i formateringen av commit-meddelanden och parsningen av filen ".gitattributes", vilket vid hantering av externa repositorier kan leda till skrivning utanför heap-området och läsning av godtyckliga data från minnet.

Båda sårbarheterna upptäcktes under en säkerhetsgranskning av Git-kodbasen som utfördes av företaget X41 på uppdrag av OSTIF (Open Source Technology Improvement Fund), som skapades för att öka säkerheten för öppna projekt. Förutom de två kritiska problemen som diskuteras nedan, hittades under granskningen även en farlig sårbarhet, en måttlig sårbarhet och fyra icke-farliga problem. Det lämnades också 27 rekommendationer för att öka säkerheten i kodbasen.

• CVE-2022-41903: heltal överflöde i koden för formatering av commit-information, som uppstår vid hantering av stora offset-värden i fyllnadsoperatorer som "%<(", "%(", "%>>(" och "%><(". Heltal överflöde uppstår i funktionen format_and_pad_commit() på grund av användning av typen int för variabeln size_t, som deltar i bestämningen av storleken på det kopierade blocket vid anrop av memcpy().

  Sårbarheten kan manifesteras både vid direkt anrop med särskilt formaterade parametrar (till exempel vid körning av "git log —format=..."), och vid indirekt tillämpning av formateringen under körningen av kommandot "git archive" i ett repository som kontrolleras av angriparen. I det andra fallet anges formateringsmodifikatorer genom parametern export-subst i filen ".gitattributes", som kan placeras av angriparen i sitt eget repository. Problemet kan användas för att läsa och skriva till godtyckliga områden i heapen och leda till körning av angriparens kod vid arbete med osäkra repositorier.
• CVE-2022-23521: heltalsöverflöden vid analys av innehållet i filer med " .gitattributes" i ett repository, som uppstår vid hantering av ett mycket stort antal filvägsmallar eller ett stort antal attribut med en mall, samt vid analys av mycket stora attributnamn. Problemet kan användas för att läsa och skriva till godtyckliga områden i heapen och leda till körning av skadlig kod när man arbetar med ett otestat repository där en angripare kan placera en särskilt utformad .gitattributes-fil och se till att den indexeras.

Publiceringen av paketuppdateringar i distributioner kan spåras på sidorna: Debian, Ubuntu, Gentoo, RHEL, SUSE, Arch, FreeBSD, NetBSD. För att minska risken för en attack vid oförmåga att installera uppdateringen i tid rekommenderas det att avstå från att arbeta med otillförlitliga repositories och att använda kommandot "git archive". Det är viktigt att komma ihåg att kommandot "git archive" kan köras implicit, exempelvis från git daemon. För att stänga av körningen av "git archive" i git daemon bör parameter daemon.uploadArch ändras med kommandot "git config --global daemon.uploadArch false".

Dessutom kan en annan sårbarhet (CVE-2022-41953) i produkten Git for Windows nämnas, vilket möjliggör körning av kod vid kloning genom grafiskt gränssnitt från otillförlitliga externa repositories. Problemet orsakas av att Git GUI för Windows automatiskt kör vissa efterbehandlingskommandon, såsom att köra programmet spell-check för att kontrollera stavning efter "checkout"-operationen, där sökvägarna för spell-check-filen omfattar den klonade arbetskatalogen (attacken består av att lägga till spell-check i arbetskatalogen för repositoryt).

Källa: opennet.ru