Matoleo sahihi ya mfumo wa udhibiti wa chanzo uliosambazwa wa Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 na 2.37.4 yamechapishwa, ambayo kurekebisha udhaifu mbili , unaoonekana unapotumia amri ya "git clone" katika modi ya "-recurse-submodules" yenye hazina ambazo hazijachaguliwa na wakati wa kutumia modi ya mwingiliano ya "git shell". Unaweza kufuatilia utolewaji wa masasisho ya kifurushi katika usambazaji kwenye kurasa za Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.
- CVE-2022-39253 - Athari hii inamruhusu mshambulizi anayedhibiti yaliyomo kwenye hazina iliyoundwa kupata ufikiaji wa data ya siri kwenye mfumo wa mtumiaji kwa kuweka viungo vya ishara vya faili zinazovutia katika saraka ya $GIT_DIR/vitu ya hazina iliyobuniwa. Shida huonekana tu wakati wa kuiga ndani (katika hali ya "--local", inayotumiwa wakati data inayolengwa na chanzo cha clone iko katika kizigeu sawa) au wakati wa kuunda hazina hasidi iliyowekwa kama moduli ndogo kwenye hazina nyingine (kwa mfano, wakati wa kujumuisha tena moduli ndogo na amri ya "git clone" --recurse-submodules").
Udhaifu huo unasababishwa na ukweli kwamba katika hali ya uundaji wa "--local", git huhamisha maudhui ya $GIT_DIR/objects kwenye saraka lengwa (kuunda viungo ngumu au nakala za faili), kufanya urejeleaji wa viungo vya ishara (yaani, kama matokeo yake, viungo visivyo vya ishara vinakiliwa kwa saraka lengwa , lakini moja kwa moja faili ambazo viungo vinaelekeza). Ili kuzuia athari, matoleo mapya ya git yanakataza uundaji wa hazina katika hali ya "--local" ambayo ina viungo vya ishara katika saraka ya $GIT_DIR/objects. Zaidi ya hayo, thamani ya chaguo-msingi ya parameta ya protocol.file.allow imebadilishwa kuwa "mtumiaji", ambayo inafanya utendakazi wa kuiga kwa kutumia faili:// itifaki kuwa salama.
- CVE-2022-39260 - Integer kufurika katika split_cmdline() chaguo la kukokotoa linalotumika katika amri ya "git shell". Tatizo linaweza kutumika kushambulia watumiaji ambao wana "git shell" kama ganda lao la kuingia na wamewasha hali ya maingiliano (faili ya $HOME/git-shell-commands imeundwa). Utumiaji wa athari kunaweza kusababisha utekelezwaji wa msimbo kiholela kwenye mfumo wakati wa kutuma amri iliyoundwa mahususi kubwa kuliko ukubwa wa GB 2.
Chanzo: opennet.ru