Es wurden zwei Schwachstellen in Git erkannt, die zu Datenlecks und -überschreibungen führen

Vor kurzem die Veröffentlichung verschiedener Korrekturversionen wurde angekündigt verteiltes Quellcodeverwaltungssystem Git von Version 2.38.4 bis Version 2.30.8, die zwei Korrekturen enthält, die bekannte Schwachstellen entfernen, die sich auf lokale Klonoptimierungen auswirken, und den Befehl "git apply".

Als solches wird erwähnt, dass diese Wartungsversionen sollen zwei Sicherheitsprobleme angehen identifiziert unter CVE-2023-22490 und CVE-2023-23946. Beide Sicherheitslücken betreffen bestehende Versionsbereiche und Benutzer werden dringend aufgefordert, entsprechend zu aktualisieren.

Ein Angreifer kann eine Schwachstelle aus der Ferne ausnutzen, um Informationen zu ermitteln. Auch ein Angreifer kann
eine Schwachstelle lokal ausnutzen, um Dateien zu manipulieren.

Zum Ausnutzen der Schwachstellen sind normale Berechtigungen erforderlich. Beide Schwachstellen erfordern eine Benutzerinteraktion.

Die erste identifizierte Schwachstelle ist CVE-2023-22490Die ermöglicht einem Angreifer, der den Inhalt eines geklonten Repositorys kontrolliert, den Zugriff auf vertrauliche Daten auf dem System eines Benutzers. Zwei Fehler tragen zu der Schwachstelle bei:

• Der erste Fehler ermöglicht bei der Arbeit mit einem speziell erstellten Repository die Verwendung lokaler Klonoptimierungen, selbst wenn ein Transport verwendet wird, der mit externen Systemen interagiert.
• Der zweite Fehler ermöglicht das Platzieren eines symbolischen Links anstelle des Verzeichnisses $GIT_DIR/objects, ähnlich der Schwachstelle CVE-2022-39253, die das Platzieren symbolischer Links im Verzeichnis $GIT_DIR/objects blockierte, aber die Tatsache, dass das Verzeichnis $GIT_DIR/objects Verzeichnis selbst wurde nicht überprüft, kann ein symbolischer Link sein.

Im lokalen Klonmodus verschiebt git $GIT_DIR/objects in das Zielverzeichnis, indem Symlinks dereferenziert werden, wodurch die referenzierten Dateien direkt in das Zielverzeichnis kopiert werden. Der Wechsel zur Verwendung lokaler Klonoptimierungen für den nicht lokalen Transport ermöglicht die Ausnutzung einer Schwachstelle bei der Arbeit mit externen Repositories (beispielsweise kann das rekursive Einfügen von Submodulen mit dem Befehl „git clone --recurse-submodules“ zum Klonen eines bösartigen Repositorys führen als Submodul in einem anderen Repository gepackt).

Mithilfe eines speziell gestalteten Repositorys kann Git dazu verleitet werden, es zu verwenden seine lokale Klonoptimierung, auch wenn ein nicht lokaler Transport verwendet wird.
Git löscht zwar lokale Klone, deren Quelle $GIT_DIR/objects Verzeichnis enthält symbolische Links (vgl. CVE-2022-39253), die Objekte des Das Verzeichnis selbst kann immer noch ein symbolischer Link sein.

Diese beiden können kombiniert werden, um beliebige Dateien basierend auf einzuschließen Pfade im Dateisystem des Opfers innerhalb des bösartigen Repositorys und der Arbeitskopie, die eine Datenexfiltration ähnlich wie ermöglicht
CVE-2022-39253.

Die zweite erkannte Schwachstelle ist CVE-2023-23946 und ermöglicht das Überschreiben des Inhalts von Dateien außerhalb des Verzeichnisses funktioniert, indem eine speziell formatierte Eingabe an den Befehl "git apply" übergeben wird.

Beispielsweise kann ein Angriff durchgeführt werden, wenn von einem Angreifer vorbereitete Patches in git apply verarbeitet werden. Um zu verhindern, dass Patches Dateien außerhalb der Arbeitskopie erstellen, blockiert „git apply“ die Verarbeitung von Patches, die versuchen, eine Datei mithilfe von Symlinks zu schreiben. Es stellte sich jedoch heraus, dass dieser Schutz umgangen wurde, indem überhaupt ein Symlink erstellt wurde.

Fedora 36 und 37 haben Sicherheitsupdates im Status „testing“. die 'git' auf Version 2.39.2 aktualisieren.

Schwachstellen sind auch Sie adressieren mit GitLab 15.8.2, 15.7.7 und 15.6.8 in Community Edition (CE) und Enterprise Edition (EE).

GitLab stuft die Schwachstellen als kritisch ein, weil CVE-2023-23946 dies zulässt Ausführung von beliebigem Programmcode in der Gitaly-Umgebung (Git-RPC-Dienst).
Gleichzeitig wird eingebettetes Python sein Aktualisieren Sie auf Version 3.9.16, um weitere Schwachstellen zu beheben.

Schließlich Für Interessierte, die mehr darüber erfahren möchten, können Sie die Veröffentlichung von Paketaktualisierungen in Distributionen auf den Seiten von verfolgen Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Bogen y FreeBSD.

Wenn es nicht möglich ist, ein Update zu installieren, wird als Workaround empfohlen, das Ausführen von „git clone“ mit der Option „–recurse-submodules“ auf nicht vertrauenswürdigen Repositories zu vermeiden und die Befehle „git apply“ und „git am“ nicht zu verwenden mit Code nicht verifiziert.