Pokud jsou tyto chyby zneužity, mohou útočníkům umožnit získat neoprávněný přístup k citlivým informacím nebo obecně způsobit problémy
Nedávno bylo oznámeno zveřejnění různých opravných verzí distribuovaný systém řízení zdroje Git od verze 2.38.4 do verze 2.30.8, obsahující dvě opravy, které odstraňují známé zranitelnosti ovlivňující optimalizaci lokálního klonu, a příkaz „git apply“.
Jako takové je zmíněno, že tato údržba se uvolňuje řeší dva bezpečnostní problémy identifikované pod CVE-2023-22490 a CVE-2023-23946. Obě chyby zabezpečení ovlivňují stávající rozsahy verzí a uživatelům se důrazně doporučuje, aby je aktualizovali.
Útočník může vzdáleně zneužít zranitelnost k detekci informací. Útočník také může
zneužít zranitelnost lokálně k manipulaci se soubory.Ke zneužití zranitelností jsou vyžadována běžná oprávnění. Obě zranitelnosti vyžadují interakci uživatele.
První zjištěná zranitelnost je CVE-2023-22490který umožňuje útočníkovi, který kontroluje obsah klonovaného úložiště, získat přístup k citlivým datům v systému uživatele. Ke zranitelnosti přispívají dvě chyby:
- První nedostatek umožňuje při práci s účelově vytvořeným úložištěm dosáhnout využití lokálních optimalizací klonování i při použití transportu, který interaguje s externími systémy.
- Druhá chyba umožňuje umístit symbolický odkaz místo adresáře $GIT_DIR/objects, podobně jako zranitelnost CVE-2022-39253, která blokovala umístění symbolických odkazů v adresáři $GIT_DIR/objects, ale skutečnost, že $GIT_DIR/objects samotný adresář nebyl zkontrolován, může to být symbolický odkaz.
V režimu lokálního klonování git přesune $GIT_DIR/objects do cílového adresáře dereferencováním symbolických odkazů, což způsobí, že se odkazované soubory zkopírují přímo do cílového adresáře. Přechod na používání optimalizací lokálních klonů pro nelokální přenos umožňuje zneužití zranitelnosti při práci s externími repozitáři (například rekurzivní zahrnutí submodulů pomocí příkazu „git clone --recurse-submodules“ může vést ke klonování škodlivého úložiště zabalené jako submodul v jiném úložišti).
Pomocí speciálně vytvořeného úložiště lze Git oklamat jeho lokální optimalizace klonu i při použití nelokálního transportu.
I když Git zruší lokální klony, jejichž zdroj $GIT_DIR/objects adresář obsahuje symbolické odkazy (srov. CVE-2022-39253), objekty samotný adresář může být stále symbolickým odkazem.Tyto dva lze kombinovat a zahrnout libovolné soubory založené na cesty v souborovém systému oběti v rámci škodlivého úložiště a pracovní kopie, umožňující exfiltraci dat podobně jako
CVE-2022-39253.
Druhá zjištěná zranitelnost je CVE-2023-23946 a to umožňuje přepsání obsahu souborů mimo adresář funguje tak, že příkazu "git apply" předá speciálně formátovaný vstup.
Útok lze například provést, když jsou záplaty připravené útočníkem zpracovány v aplikaci git. Aby záplaty nevytvářely soubory mimo pracovní kopii, "git apply" blokuje zpracování záplat, které se pokoušejí zapsat soubor pomocí symbolických odkazů. Ukázalo se však, že tato ochrana byla obejita vytvořením symbolického odkazu.
Fedora 36 a 37 mají aktualizace zabezpečení ve stavu „testování“. které aktualizují 'git' na verzi 2.39.2.
Zranitelnosti jsou také řeší GitLab 15.8.2, 15.7.7 a 15.6.8 v Community Edition (CE) a Enterprise Edition (EE).
GitLab klasifikuje zranitelnosti jako kritické, protože CVE-2023-23946 umožňuje spuštění libovolného programového kódu v prostředí Gitaly (služba Git RPC).
Zároveň bude vestavěný Python Aktualizujte na verzi 3.9.16 a opravte další zranitelnosti.
Konečně Pro ty, kteří se o tom chtějí dozvědět více, můžete sledovat vydání aktualizací balíčků v distribucích na stránkách Debian, ubuntu, RHEL, SUSE/openSUSE, Fedora, Oblouk y FreeBSD.
Pokud není možné aktualizaci nainstalovat, doporučuje se jako řešení vyhnout se spouštění „git clone“ s volbou „–recurse-submodules“ na nedůvěryhodných úložištích a nepoužívat příkazy „git apply“ a „git am“. s neověřeným kódem.