{"id":103775,"date":"2022-04-13T03:37:00","date_gmt":"2022-04-13T01:37:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej"},"modified":"2022-04-13T03:37:00","modified_gmt":"2022-04-13T01:37:00","slug":"vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vypusk-git-2-35-2-s-ustraneniem-uyazvimostej","title":{"rendered":"Utg\u00e5van Git 2.35.2 med \u00e5tg\u00e4rder f\u00f6r s\u00e5rbarheter","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Korrigerande versioner av det distribuerade versionshanteringssystemet Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 och 2.34.2 har publicerats, d\u00e4r tv\u00e5 s\u00e5rbarheter har \u00e5tg\u00e4rdats: <\/p>\n
\n
CVE-2022-24765 — p\u00e5 flerskiktede systemer med delte mapper er der registreret en mulighed for at gennemf\u00f8re et angreb, der f\u00f8rer til udf\u00f8relse af kommandoer defineret af en anden bruger. Angriberen kan oprette en mappe «.git» p\u00e5 steder, der overlapper med andre brugere (for eksempel i delte mapper eller mapper med midlertidige filer) og placere en konfigurationsfil «.git\/config» i den med indstillinger for de h\u00e5ndtere, der kaldes ved udf\u00f8relse af visse git-kommandoer (for eksempel ved at bruge parameteren core.fsmonitor for at udf\u00f8re kode).\n
Bestemte h\u00e5ndtere defineret i «.git\/config» vil blive kaldt med rettigheder fra en anden bruger, hvis denne bruger benytter git i en mappe, der er placeret et niveau over den, hvor angrebsmappen «.git» er oprettet. Dette kan ogs\u00e5 ske indirekte, for eksempel, n\u00e5r der bruges kode-redigeringsprogrammer med git-support, s\u00e5som VS Code og Atom, eller ved brug af udvidelser, der k\u00f8rer «git status» (for eksempel Git Bash eller posh-git). I version Git 2.35.2 er s\u00e5rbarheden blokeret ved \u00e6ndringer i logikken til at finde «.git» i underliggende mapper (mappen «.git» t\u00e6lles ikke med, hvis den tilh\u00f8rer en anden bruger). <\/p>\n
CVE-2022-24767 — en Windows-specifik s\u00e5rbarhed, der muligg\u00f8r eksekvering af kode med SYSTEM-rettigheder ved udf\u00f8relse af afinstalleringsoperationen (Uninstall) for Git for Windows. Problemet skyldes, at afinstalleringsprogrammet k\u00f8res i en midlertidig mappe, som er skrivbar for systembrugere. Angrebet udf\u00f8res ved at placere erstatnings-DLL-filer i den midlertidige mappe, som vil blive indl\u00e6st, n\u00e5r afinstalleringsprogrammet startes med SYSTEM-rettigheder. <\/ul>\n