Upptäckte två sårbarheter i Git som leder till dataläcka och överskrivning

nyligen offentliggörandet av olika korrigerande versioner tillkännagavs distribuerat källkontrollsystem Git sträcker sig från version 2.38.4 till version 2.30.8, som innehåller två korrigeringar som tar bort kända sårbarheter som påverkar lokala klonoptimeringar och kommandot "git apply".

Som sådan nämns det att dessa underhållssläpp ska ta itu med två säkerhetsfrågor identifieras under CVE-2023-22490 och CVE-2023-23946. Båda sårbarheterna påverkar befintliga versionsintervall och användare uppmanas starkt att uppdatera därefter.

En angripare kan på distans utnyttja en sårbarhet för att upptäcka information. Det kan också en angripare
utnyttja en sårbarhet lokalt för att manipulera filer.

Normala privilegier krävs för att utnyttja sårbarheterna. Båda sårbarheterna kräver användarinteraktion.

Den första identifierade sårbarheten är CVE-2023-22490, som tillåter en angripare som kontrollerar innehållet i ett klonat arkiv att få tillgång till känslig data på en användares system. Två brister bidrar till sårbarheten:

• Den första bristen gör det möjligt att, när man arbetar med ett specialbyggt förråd, uppnå användningen av lokala kloningsoptimeringar även när man använder en transport som interagerar med externa system.
• Det andra felet gör det möjligt att placera en symbolisk länk istället för katalogen $GIT_DIR/objects, liknande sårbarheten CVE-2022-39253, som blockerade placeringen av symboliska länkar i katalogen $GIT_DIR/objects, men det faktum att $GIT_DIR/objects katalogen i sig inte kontrollerades kan vara en symbolisk länk.

I lokalt klonläge flyttar git $GIT_DIR/objects till målkatalogen genom att avleda symboliska länkar, vilket gör att de refererade filerna kopieras direkt till målkatalogen. Att byta till att använda lokala klonoptimeringar för icke-lokal transport gör att en sårbarhet kan utnyttjas när man arbetar med externa arkiv (till exempel kan rekursiv inkludering av undermoduler med kommandot "git clone --recurse-submodules" leda till kloning av ett skadligt arkiv paketerad som en undermodul i ett annat arkiv).

Genom att använda ett speciellt skapat arkiv kan Git luras att använda dess lokala klonoptimering även när man använder en icke-lokal transport.
Även om Git kommer att avbryta lokala kloner vars källa $GIT_DIR/objekt katalogen innehåller symboliska länkar (jfr, CVE-2022-39253), objekten för katalogen i sig kan fortfarande vara en symbolisk länk.

Dessa två kan kombineras för att inkludera godtyckliga filer baserade på sökvägar i offrets filsystem inom det skadliga arkivet och arbetskopia, vilket tillåter dataexfiltrering liknande
CVE-2022 till 39253.

Den andra sårbarheten som upptäckts är CVE-2023-23946 och detta gör det möjligt att skriva över innehållet i filer utanför katalogen arbetar genom att skicka en speciellt formaterad indata till kommandot "git applicera".

Till exempel kan en attack utföras när patchar förberedda av en angripare bearbetas i git application. För att förhindra patchar från att skapa filer utanför arbetskopian, "git application" blockerar bearbetning av patchar som försöker skriva en fil med hjälp av symboliska länkar. Men detta skydd visade sig kringgås genom att skapa en symbollänk i första hand.

Fedora 36 och 37 har säkerhetsuppdateringar i "testning"-status som uppdaterar 'git' till version 2.39.2.

Sårbarheter är också de adresserar med GitLab 15.8.2, 15.7.7 och 15.6.8 i Community Edition (CE) och Enterprise Edition (EE).

GitLab klassificerar sårbarheterna som kritiska eftersom CVE-2023-23946 tillåter exekvering av godtycklig programkod i Gitaly-miljön (Git RPC-tjänst).
Samtidigt kommer inbäddad Python att vara Uppdatera till version 3.9.16 för att åtgärda fler sårbarheter.

Slutligen För den som är intresserad av att veta mer om det, kan du följa releasen av paketuppdateringar i distributioner på sidorna av Debian, ubuntu, RHEL, SUSE/openSUSE, fedora, Arch y FreeBSD.

Om det inte är möjligt att installera en uppdatering, rekommenderas det som en lösning att undvika att köra "git clone" med alternativet "–recurse-submodules" på opålitliga arkiv, och att inte använda kommandona "git application" och "git am" med kod ej verifierad.