CVE-2023-22490

Resumen

Git es un sistema de control de revisiones. Mediante un repositorio especialmente manipulado, Git anterior a las versiones 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 y 2.30.8 puede ser engañado para que utilice su optimización de clonado local incluso cuando se usa un transporte no local. Aunque Git abortará los clonados locales cuyo directorio `$GIT_DIR/objects` de origen contenga enlaces simbólicos, el propio directorio `objects` puede seguir siendo un enlace simbólico. Estas dos condiciones pueden combinarse para incluir archivos arbitrarios basados en rutas conocidas del sistema de archivos de la víctima dentro de la copia de trabajo del repositorio malicioso, lo que permite la exfiltración de datos de forma similar a CVE-2022-39253. Se ha preparado un parche que aparecerá en v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 y v2.30.8. Si la actualización no es práctica, hay dos soluciones alternativas a corto plazo. Evite clonar repositorios de fuentes no confiables con `--recurse-submodules`. En su lugar, considere clonar repositorios sin clonar recursivamente sus submódulos y, en su lugar, ejecute `git submodule update` en cada nivel. Antes de hacerlo, inspeccione cada nuevo archivo `.gitmodules` para asegurarse de que no contenga URL de módulos sospechosas.

• CVE-2023-22490_PoCPoC