إذا تم استغلالها ، يمكن أن تسمح هذه العيوب للمهاجمين بالوصول غير المصرح به إلى المعلومات الحساسة أو التسبب بشكل عام في حدوث مشكلات
مؤخرا تم الإعلان عن نشر إصدارات تصحيحية مختلفة نظام التحكم في المصدر الموزع يمتد Git من الإصدار 2.38.4 إلى الإصدار 2.30.8، التي تحتوي على إصلاحين يزيلان الثغرات الأمنية المعروفة التي تؤثر على تحسينات النسخ المحلية والأمر "git apply".
على هذا النحو ، يذكر أن إصدارات الصيانة هذه هي معالجة مشكلتين أمنيتين المحددة في CVE-2023-22490 و CVE-2023-23946. تؤثر كلتا الثغرات الأمنية على نطاقات الإصدارات الحالية ويتم تشجيع المستخدمين بشدة على التحديث وفقًا لذلك.
يمكن للمهاجم استغلال ثغرة أمنية عن بعد لاكتشاف المعلومات. أيضا ، يمكن للمهاجم
استغلال الثغرة الأمنية محليًا للتلاعب بالملفات.الامتيازات العادية مطلوبة لاستغلال الثغرات الأمنية. تتطلب كلتا الثغرات الأمنية تفاعل المستخدم.
أول نقطة ضعف تم تحديدها هي CVE-2023-22490الذي يسمح للمهاجم الذي يتحكم في محتوى مستودع مستنسخ بالوصول إلى البيانات الحساسة على نظام المستخدم. هناك عيبان يساهمان في الضعف:
- يسمح الخلل الأول ، عند العمل مع مستودع مصمم لهذا الغرض ، بتحقيق استخدام تحسينات الاستنساخ المحلية حتى عند استخدام وسيلة نقل تتفاعل مع أنظمة خارجية.
- يسمح الخلل الثاني بوضع رابط رمزي بدلاً من الدليل $ GIT_DIR / كائنات ، على غرار الثغرة الأمنية CVE-2022-39253 ، والتي منعت وضع الروابط الرمزية في الدليل $ GIT_DIR / object ، لكن حقيقة أن $ GIT_DIR / كائنات الدليل نفسه لم يتم التحقق منه قد يكون رابطًا رمزيًا.
في وضع النسخ المحلي ، ينقل git $ GIT_DIR / كائنات إلى الدليل الهدف عن طريق إلغاء الإشارة إلى الروابط الرمزية ، مما يتسبب في نسخ الملفات المرجعية مباشرة إلى الدليل الهدف. يسمح التبديل إلى استخدام تحسينات النسخ المحلية للنقل غير المحلي باستغلال الثغرات الأمنية عند العمل مع المستودعات الخارجية (على سبيل المثال ، قد يؤدي التضمين المتكرر للوحدات الفرعية باستخدام الأمر "git clone --recurse-subodules" إلى استنساخ مستودع ضار معبأة كوحدة فرعية في مستودع آخر).
باستخدام مستودع معد خصيصًا ، يمكن خداع Git لاستخدامه تحسين الاستنساخ المحلي حتى عند استخدام وسيلة نقل غير محلية.
على الرغم من أن Git ستلغي النسخ المحلية التي يكون مصدرها $ GIT_DIR / كائنات يحتوي الدليل على روابط رمزية (cf ، CVE-2022-39253) ، كائنات ملف الدليل نفسه يمكن أن يظل رابطًا رمزيًا.يمكن الجمع بين هذين الاثنين لتضمين الملفات التعسفية على أساس المسارات في نظام ملفات الضحية داخل المستودع الخبيث و نسخة العمل ، مما يسمح باستخراج البيانات على غرار
CVE-2022-39253.
تم الكشف عن الثغرة الأمنية الثانية CVE-2023-23946 وهذا يسمح بالكتابة فوق محتوى الملفات خارج الدليل العمل عن طريق تمرير إدخال منسق بشكل خاص إلى الأمر "git apply".
على سبيل المثال ، يمكن تنفيذ هجوم عندما تتم معالجة التصحيحات التي أعدها المهاجم في git application. لمنع التصحيحات من إنشاء ملفات خارج نسخة العمل ، يمنع "git application" معالجة التصحيحات التي تحاول كتابة ملف باستخدام ارتباطات رمزية. ولكن تبين فيما بعد أنه تم التحايل على هذه الحماية من خلال إنشاء رابط رمزي في المقام الأول.
يحتوي Fedora 36 و 37 على تحديثات أمنية في حالة "الاختبار" الذي يقوم بتحديث 'git' إلى الإصدار 2.39.2.
نقاط الضعف هي أيضا يتعاملون مع GitLab 15.8.2 و 15.7.7 و 15.6.8 في Community Edition (CE) و Enterprise Edition (EE).
يصنف GitLab الثغرات الأمنية على أنها حرجة لأن CVE-2023-23946 يسمح بامتداد تنفيذ كود برنامج تعسفي في بيئة Gitaly (خدمة Git RPC).
في الوقت نفسه ، ستكون لغة بايثون المضمنة قم بالتحديث إلى الإصدار 3.9.16 لإصلاح المزيد من الثغرات الأمنية.
أخيرا للراغبين في معرفة المزيد عنها، يمكنك متابعة إصدار تحديثات الحزمة في التوزيعات على صفحات ديبيان, أوبونتو, RHEL, SUSE / openSUSE, فيدورا, قوس y فري.
إذا لم يكن من الممكن تثبيت تحديث ، فمن المستحسن كحل بديل لتجنب تشغيل "git clone" مع خيار "–recurse-subodules" في المستودعات غير الموثوق بها ، وعدم استخدام أمري "git application" و "git am" مع رمز لم يتم التحقق منها.