CVE-2023-22490

ملخص

Git هو نظام تحكم بالمراجعات. باستخدام مستودع مُصمم بعناية، يمكن خداع Git في الإصدارات السابقة للإصدارات 2.39.2 و2.38.4 و2.37.6 و2.36.5 و2.35.7 و2.34.7 و2.33.7 و2.32.6 و2.31.7 و2.30.8 لاستخدام تحسين الاستنساخ المحلي الخاص به حتى عند استخدام ناقل غير محلي. على الرغم من أن Git سيلغي عمليات الاستنساخ المحلي التي يحتوي دليل `$GIT_DIR/objects` المصدر فيها على روابط رمزية، إلا أن دليل `objects` نفسه قد يظل رابطًا رمزيًا. يمكن الجمع بين هذين الأمرين لتضمين ملفات عشوائية بناءً على مسارات معروفة على نظام ملفات الضحية داخل النسخة العاملة من المستودع الخبيث، مما يسمح بتسريب البيانات بطريقة مشابهة لـ CVE-2022-39253. تم إعداد إصلاح وسيظهر في الإصدارات v2.39.2 وv2.38.4 وv2.37.6 وv2.36.5 وv2.35.7 وv2.34.7 وv2.33.7 وv2.32.6 وv2.31.7 وv2.30.8. إذا كانت الترقية غير عملية، يتوفر حلان مؤقتان قصيران. تجنب استنساخ المستودعات من مصادر غير موثوقة باستخدام `--recurse-submodules`. بدلاً من ذلك، فكر في استنساخ المستودعات دون استنساخ وحداتها الفرعية بشكل متكرر، وقم بتشغيل `git submodule update` في كل طبقة بدلاً من ذلك. قبل القيام بذلك، افحص كل ملف `.gitmodules` جديد للتأكد من أنه لا يحتوي على عناوين URL مشبوهة للوحدات.

• CVE-2023-22490_PoCPoC