CVE-2023-22490

Résumé

Git est un système de contrôle de révision. En utilisant un dépôt spécialement conçu, Git, dans les versions antérieures à 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 et 2.30.8, peut être amené à utiliser son optimisation de clonage local même lors de l'utilisation d'un transport non local. Bien que Git interrompe les clonages locaux dont le répertoire source `$GIT_DIR/objects` contient des liens symboliques, le répertoire `objects` lui-même peut toujours être un lien symbolique. Ces deux éléments peuvent être combinés pour inclure des fichiers arbitraires basés sur des chemins connus du système de fichiers de la victime dans la copie de travail du dépôt malveillant, permettant une exfiltration de données d'une manière similaire à CVE-2022-39253. Un correctif a été préparé et apparaîtra dans les versions v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 et v2.30.8. Si la mise à niveau est impossible, deux solutions de contournement à court terme sont disponibles. Évitez de cloner des dépôts provenant de sources non fiables avec `--recurse-submodules`. Envisagez plutôt de cloner les dépôts sans cloner récursivement leurs sous-modules, et d'exécuter plutôt `git submodule update` à chaque niveau. Avant de procéder, inspectez chaque nouveau fichier `.gitmodules` pour vous assurer qu'il ne contient pas d'URL de modules suspectes.

• CVE-2023-22490_PoCPoC