CVE-2023-22490

Zusammenfassung

Git ist ein Revisionskontrollsystem. Mit einem speziell präparierten Repository kann Git vor den Versionen 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 und 2.30.8 dazu verleitet werden, seine lokale Klon-Optimierung zu verwenden, selbst wenn ein nicht-lokaler Transport verwendet wird. Obwohl Git lokale Klone abbricht, deren Quell-`$GIT_DIR/objects`-Verzeichnis symbolische Links enthält, kann das `objects`-Verzeichnis selbst dennoch ein symbolischer Link sein. Diese beiden Aspekte können kombiniert werden, um beliebige Dateien basierend auf bekannten Pfaden im Dateisystem des Opfers in die Arbeitskopie des bösartigen Repositorys aufzunehmen, was eine Datenextraktion in ähnlicher Weise wie bei CVE-2022-39253 ermöglicht. Ein Fix wurde vorbereitet und wird in v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 und v2.30.8 erscheinen. Falls ein Upgrade unpraktikabel ist, stehen zwei kurzfristige Workarounds zur Verfügung. Vermeiden Sie das Klonen von Repositorys aus nicht vertrauenswürdigen Quellen mit `--recurse-submodules`. Erwägen Sie stattdessen, Repositorys ohne rekursives Klonen ihrer Submodule zu klonen und stattdessen `git submodule update` auf jeder Ebene auszuführen. Prüfen Sie vorher jede neue `.gitmodules`-Datei, um sicherzustellen, dass sie keine verdächtigen Modul-URLs enthält.

• CVE-2023-22490_PoCPoC

  Proof-of-Concept-Exploit für CVE-2023-22490, der die Schwachstelle demonstriert und einen funktionierenden Exploit für Sicherheitstests und Verifizierung bereitstellt.