Če jih izkoristijo, lahko napadalcem omogočijo nepooblaščen dostop do občutljivih informacij ali na splošno povzročijo težave
Pred kratkim napovedana je bila objava različnih popravnih različic porazdeljeni sistem za nadzor vira Git sega od različice 2.38.4 do različice 2.30.8, ki vsebuje dva popravka, ki odstranjujeta znane ranljivosti, ki vplivajo na lokalne optimizacije klonov, in ukaz "git apply".
Kot take so omenjene te vzdrževalne izdaje obravnavati dve varnostni vprašanji identificiran pod CVE-2023-22490 in CVE-2023-23946. Obe ranljivosti vplivata na obstoječe obsege različic in uporabnike močno spodbujamo, da jih ustrezno posodobijo.
Napadalec lahko na daljavo izkoristi ranljivost za odkrivanje informacij. Prav tako lahko napadalec
lokalno izkoristiti ranljivost za manipulacijo datotek.Za izkoriščanje ranljivosti so potrebne običajne pravice. Obe ranljivosti zahtevata interakcijo uporabnika.
Prva ugotovljena ranljivost je CVE-2023-22490, ki omogoča napadalcu, ki nadzoruje vsebino kloniranega repozitorija, dostop do občutljivih podatkov na uporabnikovem sistemu. K ranljivosti prispevata dve pomanjkljivosti:
- Prva napaka omogoča, da pri delu z namensko zgrajenim repozitorijem dosežete uporabo lokalnih optimizacij kloniranja tudi pri uporabi transporta, ki je v interakciji z zunanjimi sistemi.
- Druga napaka omogoča postavitev simbolne povezave namesto imenika $GIT_DIR/objects, podobno kot ranljivost CVE-2022-39253, ki je blokirala postavitev simbolnih povezav v imenik $GIT_DIR/objects, a dejstvo, da je $GIT_DIR/objects sam imenik ni bil preverjen, je morda simbolična povezava.
V načinu lokalnega kloniranja git premakne $GIT_DIR/objects v ciljni imenik z dereferenciranjem simbolnih povezav, zaradi česar se referenčne datoteke kopirajo neposredno v ciljni imenik. Preklop na uporabo optimizacij lokalnih klonov za nelokalni transport omogoča izkoriščanje ranljivosti pri delu z zunanjimi repozitoriji (na primer, rekurzivna vključitev podmodulov z ukazom "git clone --recurse-submodules" lahko vodi do kloniranja zlonamernega repozitorija zapakiran kot podmodul v drugem repozitoriju).
Z uporabo posebej izdelanega repozitorija je Git mogoče pretentati njegova optimizacija lokalnega kloniranja tudi pri uporabi nelokalnega transporta.
Čeprav bo Git preklical lokalne klone, katerih izvor $GIT_DIR/objects imenik vsebuje simbolne povezave (cf, CVE-2022-39253), objekte sam imenik je lahko še vedno simbolična povezava.To dvoje je mogoče združiti, da vključite poljubne datoteke na podlagi poti v datotečnem sistemu žrtve znotraj zlonamernega skladišča in delovna kopija, ki omogoča ekstrakcijo podatkov, podobno kot
CVE-2022-39253.
Druga odkrita ranljivost je CVE-2023-23946 in to omogoča prepisovanje vsebine datotek zunaj imenika deluje s posredovanjem posebej oblikovanega vnosa ukazu "git apply".
Napad se lahko na primer izvede, ko se popravki, ki jih je pripravil napadalec, obdelajo v aplikaciji git. Da preprečite, da bi popravki ustvarili datoteke zunaj delovne kopije, "git apply" blokira obdelavo popravkov, ki poskušajo zapisati datoteko s pomočjo simbolnih povezav. Toda izkazalo se je, da se je ta zaščita zaobšla z ustvarjanjem simbolne povezave.
Fedora 36 in 37 imata varnostne posodobitve v statusu 'testiranja' ki posodobi 'git' na različico 2.39.2.
Tudi ranljivosti so obravnavajo z GitLab 15.8.2, 15.7.7 in 15.6.8 v izdaji Skupnosti (CE) in izdaji Enterprise (EE).
GitLab razvršča ranljivosti kot kritične, ker CVE-2023-23946 omogoča izvajanje poljubne programske kode v okolju Gitaly (storitev Git RPC).
Hkrati bo vgrajeni Python Posodobite na različico 3.9.16, da odpravite več ranljivosti.
Končno Za tiste, ki jih zanima več o tem, lahko spremljate izdajo posodobitev paketov v distribucijah na straneh Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch y FreeBSD.
Če posodobitve ni mogoče namestiti, priporočamo, da se kot rešitev izogibate izvajanju »git clone« z možnostjo »–recurse-submodules« na nezaupnih repozitorijih in da ne uporabite ukazov »git apply« in »git am«. s kodo, ki ni preverjena.