Matoleo sahihi ya mfumo wa udhibiti wa chanzo unaosambazwa wa Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 na 2.34.2 yamechapishwa, ambayo hurekebisha athari mbili:
- CVE-2022-24765 - Kwenye mifumo ya watumiaji wengi iliyo na saraka zilizoshirikiwa, shambulio limetambuliwa ambalo linaweza kusababisha utekelezaji wa amri zilizofafanuliwa na mtumiaji mwingine. Mshambulizi anaweza kuunda saraka ya ".git" katika sehemu zinazopishana na watumiaji wengine (kwa mfano, katika saraka zilizoshirikiwa au saraka zilizo na faili za muda) na kuweka faili ya usanidi ya ".git/config" ndani yake pamoja na usanidi wa vidhibiti vinavyoitwa wakati. kazi fulani hutekelezwa. amri za git (kwa mfano, unaweza kutumia kigezo cha core.fsmonitor kupanga utekelezaji wa msimbo).
Vishikilizi vilivyofafanuliwa katika ".git/config" vitaitwa pamoja na haki za mtumiaji mwingine ikiwa mtumiaji huyo anatumia git katika saraka iliyo katika kiwango cha juu kuliko saraka ndogo ya ".git" iliyoundwa na mvamizi. Simu pia inaweza kupigwa kwa njia isiyo ya moja kwa moja, kwa mfano, unapotumia vihariri vya msimbo vinavyotumia git, kama vile VS Code na Atom, au unapotumia programu jalizi zinazotumia "git status" (kwa mfano, Git Bash au posh-git). Katika Git 2.35.2, athari ilizuiwa kupitia mabadiliko ya mantiki ya kutafuta ".git" katika saraka za msingi (saraka ya ".git" sasa haijazingatiwa ikiwa inamilikiwa na mtumiaji mwingine).
- CVE-2022-24767 ni hatarishi ya jukwaa mahususi ya Windows ambayo inaruhusu utekelezaji wa msimbo na mapendeleo ya SYSTEM wakati wa kuendesha operesheni ya Sanidua ya programu ya Git kwa Windows. Tatizo linasababishwa na ukweli kwamba kiondoaji kinaendesha kwenye saraka ya muda ambayo imeandikwa na watumiaji wa mfumo. Shambulio hilo linafanywa kwa kuweka DLL mbadala kwenye saraka ya muda, ambayo itapakiwa wakati kiondoa kikizinduliwa na haki za SYSTEM.
Chanzo: opennet.ru