Uppdatering av Git som åtgärdar 8 sårbarheter

Publicerade korrektivutgåvor av det distribuerade versionskontrollsystemet Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 och 2.14.6 där sårbarheter har åtgärdats, vilket gör det möjligt för en angripare att skriva över godtyckliga sökvägar i filsystemet, åstadkomma fjärrkörning av kod eller skriva över filer i katalogen «.git/». De flesta problemen upptäcktes av anställda
Microsoft Security Response Center, fem av åtta sårbarheter är specifika för Windows-plattformen.

• CVE-2019-1348 — strömningskommandot «feature export-marks=path»möjliggör kan skriva etiketter till godtyckliga kataloger, vilket kan användas för att skriva över godtyckliga sökvägar i filsystemet vid utförande av operationen «git fast-import» med okontrollerade indata.
• CVE-2019-1350 — felaktig escapering av kommandoradsargument kunde leda till fjärrkörning av angriparens kod vid rekursiv kloning med hjälp av URL ssh://. Specifikt hanterades inte escaperingen av argument som slutade med ett bakåtstreck (t.ex. «test \»). I sådana fall, när argumentet omges av citattecken, blev det sista citattecknet escaped, vilket gjorde det möjligt att infoga sina egna alternativ i kommandoraden.
• CVE-2019-1349 — vid rekursiv kloning av submoduler («clone —recurse-submodules») i en Windows-miljö under speciella omständigheter kunde initiera användning av en git-katalog två gånger (.git, git~1, git~2 och git~N i NTFS identifieras som en katalog, men denna situation kontrollerades endast för git~1), vilket kunde utnyttjas för att skriva till katalogen «.git». För att utföra sin kod kan en angripare till exempel infoga sitt skript genom post-checkout-hanteraren i filen .git/config.
• CVE-2019-1351 — disk name handler in Windows paths for translating paths like "C:\" was designed only to replace single-letter Latin identifiers, but did not account for the possibility of creating virtual disks assigned via "subst letter:path". Such paths were processed as relative paths rather than absolute paths, allowing for arbitrary directory writing outside the working directory tree (for example, when using numbers or unicode characters in the disk name — "1:\what\the\hex.txt" or "ä:\tschibät.sch").
• CVE-2019-1352 — when operating on the Windows platform, the use of alternative data streams in NTFS, created by adding the attribute ":stream-name:stream-type" to the file name, möjliggjorde could overwrite files in the ".git/" directory when cloning a malicious repository. For example, the name ".git::$INDEX_ALLOCATION" in NTFS was processed as a valid link to the directory ".git".
• CVE-2019-1353 — when using Git in a WSL (Windows Subsystem for Linux) environment when accessing the working directory no protection against name manipulation in NTFS was applied (attacks via FAT name translation were possible, for example, ".git" could be accessed through the directory "git~1"). CVE-2019-1354
• writing to the ".git/" directory on the Windows platform when cloning malicious repositories containing files with a backslash in their name (for example, "a\b"), which is permissible in Unix/Linux but interpreted as part of the path in Windows. —
  att CVE-2019-1387
• — insufficient validation of submodule names could be used to organize targeted attacks, which during recursive cloning could potentially lead to execution of the attacker's code. Git did not prohibit creating a submodule directory within another submodule's directory, which in most cases may only lead to confusion but does not rule out overwriting another module's content during the process of recursive cloning (for instance, the submodule directories "hippo" and "hippo/hooks" are located as ".git/modules/hippo/" and ".git/modules/hippo/hooks/", and the hooks directory in hippo can separately be used to store executable handlers. till attackerkodens genomförande. Git förhindrade inte skapande av en undermapp i en annan undermapp, vilket i de flesta fall bara kan leda till förvirring, men potentiellt inte utesluter överskrivning av innehållet i en annan modul vid rekursiv kloning (till exempel placeras undermapparna "hippo" och "hippo/hooks" som ".git/modules/hippo/" och ".git/modules/hippo/hooks/", och mappen hooks i hippo kan användas separat för att placera körbara hanterare.

Windows-användare rekommenderas att omedelbart uppdatera sin Git-version och avstå från att klona opålitliga repor innan uppdateringen. Om det inte är möjligt att omedelbart uppdatera Git, rekommenderas det att minska risken för attacker genom att inte köra «git clone —recurse-submodules» och «git submodule update» med opålitliga repor, inte använda «git fast-import» med osäkra inputflöden och att inte klona repor i NTFS-baserade partitioner.

För ytterligare skydd har även användning av konstruktioner i .gitmodules i form av «submodule.{name}.update=!command» förbjudits i de nya versionerna. För att hålla reda på paketuppdateringar för distributioner kan man besöka sidorna Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Källa: opennet.ru