CVE-2021-21300: تنفيذ تعليمات عشوائية عبر روابط Git الخبيثة

📌 ملخص

CVE-2021-21300 هي ثغرة أمنية حرجة في Git (الإصدارات 2.14.2 إلى 2.30.1) تسمح للمهاجمين بتنفيذ تعليمات عشوائية على أجهزة الضحية عبر استغلال الروابط الرمزية وأنظمة الملفات غير الحساسة لحالة الأحرف.

---

🧠 بيان المشكلة

• الثغرة: تنفيذ تعليمات عشوائية عبر روابط Git الخبيثة.
• السبب الجذري: أنظمة الملفات غير الحساسة لحالة الأحرف (مثل Windows/macOS) تفسر A/post-checkout على أنه .git/hooks/post-checkout.
• التأثير: يمكن للمهاجمين حقن وتنفيذ روابط خبيثة عندما يستنسخ المستخدم المستودع المصاب.

---

🔍 خلفية نظرية

الحيلة

يسمح Git بالروابط المعرفة من قبل المستخدم والمخزنة في .git/hooks/. في أنظمة الملفات غير الحساسة لحالة الأحرف:

• قد يُفسر مجلد مصمم مثل A/post-checkout على أنه .git/hooks/post-checkout.
• رابط رمزي يستبدل A/ بـ .git/hooks/، متجاوزًا القيود.

الاستغلال

1. أنشئ دليلاً A وملفًا A/post-checkout يحتوي على أوامر خبيثة.
2. ضع الدليل ومحتوياته في مرحلة التتبع لـ Git.
3. احذف الدليل واستبدل A برابط رمزي إلى .git/hooks/.
4. عندما ينفذ Git A/post-checkout، فإنه في الواقع يشغّل الملف الخبيث الموجود في .git/hooks/.

---

⚠️ شروط التفعيل

• نظام ملفات غير حساس لحالة الأحرف (Windows/macOS).
• رابط رمزي إلى .git/hooks/.
• تصفيات Git LFS العالمية مفعلة.
• الضحية لديه صلاحية تنفيذ التعليمات الخبيثة.

---

🛠️ سير العمل الهجومي

إنشاء المستودع الخبيث

• أنشئ .gitattributes لتفعيل معالجة LFS لـ A/post-checkout.
• أضف سكربتًا خبيثًا A/post-checkout (مثلاً يطبع "PWNED").
• أضف ملفات وهمية A/a، A/b لتجعلها تبدو شرعية.
• استبدل A/ برابط رمزي إلى .git/hooks/.
• نفّذ التغييرات وادفعها.

---

🛡 الدفاعات الحالية

بناءً على التهيئة

• تعطيل تتبع الروابط الرمزية:

  git clone -c core.symlinks=true
  git config --system core.symlinks true
  

##💡 دفاعات محتملة أخرى

• أتمتة الاستنساخ الآمن باستخدام Git Alias

• أنشئ دليلاً.

• فعّل حساسية حالة الأحرف (ويندوز):

  fsutil file setcasesensitiveinfo <DESTINATION FOLDER> enable
  

• استنسخ في ذلك الدليل.

• أنشئ اسمًا مستعارًا لـ Git لأتمتة هذه الخطوات لاستنساخ أكثر أمانًا.