Se exploradas, essas falhas podem permitir que invasores obtenham acesso não autorizado a informações confidenciais ou geralmente causem problemas
Faz pouco foi anunciada a publicação de várias versões corretivas sistema de controle de origem distribuído Git abrangendo da versão 2.38.4 à versão 2.30.8, contendo duas correções que removem vulnerabilidades conhecidas que afetam as otimizações de clone local e o comando "git apply".
Como tal, refere-se que estes lançamentos de manutenção são para resolver dois problemas de segurança identificados sob CVE-2023-22490 e CVE-2023-23946. Ambas as vulnerabilidades afetam os intervalos de versão existentes e os usuários são fortemente encorajados a atualizar de acordo.
Um invasor pode explorar remotamente uma vulnerabilidade para detectar informações. Além disso, um invasor pode
explorar uma vulnerabilidade localmente para manipular arquivos.Privilégios normais são necessários para explorar as vulnerabilidades. Ambas as vulnerabilidades requerem interação do usuário.
A primeira vulnerabilidade identificada é CVE-2023-22490, a qual permite que um invasor que controla o conteúdo de um repositório clonado obtenha acesso a dados confidenciais no sistema de um usuário. Duas falhas contribuem para a vulnerabilidade:
- A primeira falha permite, ao trabalhar com um repositório construído especificamente, obter o uso de otimizações de clonagem local mesmo ao usar um transporte que interage com sistemas externos.
- A segunda falha permite colocar um link simbólico em vez do diretório $GIT_DIR/objects, semelhante à vulnerabilidade CVE-2022-39253, que bloqueou a colocação de links simbólicos no diretório $GIT_DIR/objects, mas o fato de o diretório $GIT_DIR/objects O próprio diretório não foi verificado pode ser um link simbólico.
No modo de clone local, git move $GIT_DIR/objects para o diretório de destino desreferenciando links simbólicos, fazendo com que os arquivos referenciados sejam copiados diretamente para o diretório de destino. Mudar para o uso de otimizações de clone local para transporte não local permite que uma vulnerabilidade seja explorada ao trabalhar com repositórios externos (por exemplo, a inclusão recursiva de submódulos com o comando "git clone --recurse-submodules" pode levar à clonagem de um repositório malicioso empacotado como um submódulo em outro repositório).
Usando um repositório especialmente criado, o Git pode ser induzido a usar sua otimização de clone local mesmo ao usar um transporte não local.
Embora o Git cancele os clones locais cuja origem $GIT_DIR/objects diretório contém links simbólicos (cf, CVE-2022-39253), os objetos do O próprio diretório ainda pode ser um link simbólico.Esses dois podem ser combinados para incluir arquivos arbitrários baseados em caminhos no sistema de arquivos da vítima dentro do repositório malicioso e o cópia de trabalho, permitindo a exfiltração de dados semelhante à
CVE-2022-39253.
A segunda vulnerabilidade detectada é CVE-2023-23946 e isso permite sobrescrever o conteúdo de arquivos fora do diretório trabalhando passando uma entrada especialmente formatada para o comando "git apply".
Por exemplo, um ataque pode ser executado quando patches preparados por um invasor são processados no git apply. Para evitar que patches criem arquivos fora da cópia de trabalho, "git apply" bloqueia o processamento de patches que tentam gravar um arquivo usando links simbólicos. Mas essa proteção acabou sendo contornada pela criação de um link simbólico em primeiro lugar.
Fedora 36 e 37 têm atualizações de segurança no status 'testing' que atualiza 'git' para a versão 2.39.2.
As vulnerabilidades também eles abordam com GitLab 15.8.2, 15.7.7 e 15.6.8 em Community Edition (CE) e Enterprise Edition (EE).
O GitLab classifica as vulnerabilidades como críticas porque o CVE-2023-23946 permite o execução de código de programa arbitrário no ambiente Gitaly (serviço Git RPC).
Ao mesmo tempo, o Python embutido será Atualize para a versão 3.9.16 para corrigir mais vulnerabilidades.
Finalmente Para os interessados em saber mais sobre o assunto, você pode acompanhar o lançamento de atualizações de pacotes em distribuições nas páginas de Debian, Ubuntu, RHEL, SUSE / openSUSE, Fedora, arco y FreeBSD.
Se não for possível instalar uma atualização, recomenda-se como solução alternativa evitar a execução do “git clone” com a opção “–recurse-submodules” em repositórios não confiáveis e não usar os comandos “git apply” e “git am” com código não verificado.