Ако се искористе, ови недостаци могу омогућити нападачима да добију неовлашћени приступ осетљивим информацијама или генерално да изазову проблеме
Недавно најављено је објављивање разних корективних верзија дистрибуирани систем контроле извора Гит који се протеже од верзије 2.38.4 до верзије 2.30.8, који садржи две исправке које уклањају познате рањивости које утичу на оптимизације локалних клонова и команду „гит аппли“.
Као такви, помиње се да ова издања за одржавање треба да се позабаве два безбедносна питања идентификоване под ЦВЕ-2023-22490 и ЦВЕ-2023-23946. Обе рањивости утичу на постојеће опсеге верзија и корисницима се препоручује да ажурирају у складу са тим.
Нападач може даљински да искористи рањивост за откривање информација. Такође, нападач може
локално искористити рањивост за манипулисање датотекама.Потребне су нормалне привилегије да би се искористиле рањивости. Обе рањивости захтевају интеракцију корисника.
Прва идентификована рањивост је ЦВЕ-КСНУМКС-КСНУМКС, која омогућава нападачу који контролише садржај клонираног спремишта да добије приступ осетљивим подацима на систему корисника. Две мане доприносе рањивости:
- Прва мана омогућава, када се ради са наменски изграђеним репозиторијумом, да се постигне коришћење локалних оптимизација клонирања чак и када се користи транспорт који је у интеракцији са спољним системима.
- Друга мана омогућава постављање симболичке везе уместо директоријума $ГИТ_ДИР/објецтс, слично рањивости ЦВЕ-2022-39253, која је блокирала постављање симболичких веза у директоријум $ГИТ_ДИР/објецтс, али чињеница да је $ГИТ_ДИР/објецтс сам директоријум није проверен можда је симболична веза.
У режиму локалног клонирања, гит премешта $ГИТ_ДИР/објецтс у циљни директоријум дереференцирањем симболичних веза, узрокујући да се референциране датотеке копирају директно у циљни директоријум. Пребацивање на коришћење локалних оптимизација клонова за нелокални транспорт омогућава експлоатацију рањивости при раду са спољним репозиторијумима (на пример, рекурзивно укључивање подмодула са командом „гит цлоне --рецурсе-субмодулес“ може довести до клонирања злонамерног спремишта упаковано као подмодул у другом спремишту).
Користећи посебно направљено спремиште, Гит се може преварити његова локална оптимизација клонова чак и када се користи не-локални транспорт.
Иако ће Гит отказати локалне клонове чији је извор $ГИТ_ДИР/објецтс директоријум садржи симболичке везе (цф, ЦВЕ-2022-39253), објекте сам директоријум и даље може бити симболичка веза.Ова два се могу комбиновати да би се укључиле произвољне датотеке на основу путање у систему датотека жртве унутар складишта злонамерних и радна копија, која омогућава ексфилтрацију података слично као
ЦВЕ-2022-39253.
Друга откривена рањивост је ЦВЕ-2023-23946 и то омогућава преписивање садржаја датотека изван директоријума раде проследивањем посебно форматираног уноса команди "гит аппли".
На пример, напад се може извести када се закрпе које је припремио нападач обрађују у гит апп-у. Да би спречили закрпе да креирају фајлове ван радне копије, "гит аппли" блокира обраду закрпа које покушавају да напишу датотеку користећи симболичне везе. Али показало се да је ова заштита заобиђена стварањем симболичне везе.
Федора 36 и 37 имају безбедносна ажурирања у статусу „тестирање“. који ажурирају 'гит' на верзију 2.39.2.
Рањивости су такође они се обраћају са ГитЛаб 15.8.2, 15.7.7 и 15.6.8 у Цоммунити Едитион (ЦЕ) и Ентерприсе Едитион (ЕЕ).
ГитЛаб класификује рањивости као критичне јер ЦВЕ-2023-23946 дозвољава извршавање произвољног програмског кода у Гитали окружењу (Гит РПЦ сервис).
У исто време, уграђени Питхон ће Ажурирајте на верзију 3.9.16 да бисте поправили више рањивости.
Коначно За оне који желе да сазнају више о томе, можете пратити објављивање ажурирања пакета у дистрибуцијама на страницама од Дебиан, убунту, РХЕЛ, СУСЕ/опенСУСЕ, федора, Свод y Уник.
Ако није могуће инсталирати ажурирање, препоручује се као заобилазно решење да се избегне покретање „гит цлоне“ са опцијом „–рецурсе-субмодулес“ на непоузданим репозиторијумима и да се не користе „гит аппли“ и „гит ам“ команде са кодом који није верификован.