Уразливість в Git: виконання довільних команд

Виявлена нова критична уразливість CVE-2014-9390 в Git, що дозволяє виконати довільні команди на клієнта.

Суть уразливості полягає в можливості зробити комміт у .Git/config, що рівносильно службовому шляху .git/config регистронезависимых файлових системах. Це дає можливість ініціювати запуск довільних команд на клієнті. У загальному випадку уразливості схильні робочі станції на Windows і Mac OS X, Linux-системи будуть схильні у разі використання регистронезависимых файлових систем.

Згідноанонсу в розсилці linux-kernel
Раніше ми дозволяли робити коміти в ".Git/config", однак на регистронезависимых файлових системах це дозволило б писати в ".git/config", що безумовно не є очікуваною поведінкою програми. Відтепер Git забороняє використання ".Git" (в будь-якому регістрі) на шляху.
На Windows певні шляхи також можуть відображатися у .git, наприклад git~1/config дає доступ до .git/config. Файлова система HFS+ також може надати доступ до цього шляху при використанні символів Юнікоду, наприклад, .g\u200cit/config. Подібні шляху відтепер будуть відхилятися Git на потенційно вразливих системах. На інших системах, таких як Linux, можливо навмисно включити подібна поведінка системи для забезпечення кроссплатформенности і загального підвищення рівня безпеки.

Перевірити наявність проблем можна за допомогою git fsck.

Вже вийшли відповідні виправлення:



Цікаво що на GitHub експлуатація уразливості неможлива. Співробітники компанії відразу після появи інформації про ба заборонили нові зловмисні коміти і виконали перевірку всіх існуючих репозиторіїв на предмет наявності в них CVE-2014-9390.

Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.