CVE-2023-22490

सारांश

Git एक संशोधन नियंत्रण प्रणाली है। एक विशेष रूप से तैयार किए गए रिपॉजिटरी का उपयोग करके, Git को संस्करण 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7, और 2.30.8 से पहले के संस्करणों में, गैर-स्थानीय ट्रांसपोर्ट का उपयोग करते समय भी अपने स्थानीय क्लोन ऑप्टिमाइज़ेशन का उपयोग करने के लिए धोखा दिया जा सकता है। हालाँकि Git उन स्थानीय क्लोनों को रद्द कर देगा जिनके स्रोत `$GIT_DIR/objects` निर्देशिका में सिम्बोलिक लिंक होते हैं, `objects` निर्देशिका स्वयं अभी भी एक सिम्बोलिक लिंक हो सकती है। इन दोनों को मिलाकर पीड़ित के फाइल सिस्टम पर ज्ञात पथों के आधार पर मनमानी फाइलों को दुर्भावनापूर्ण रिपॉजिटरी की वर्किंग कॉपी में शामिल किया जा सकता है, जिससे CVE-2022-39253 के समान तरीके से डेटा बहिष्करण (data exfiltration) संभव हो सकता है। एक फिक्स तैयार किया गया है और v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 और v2.30.8 में दिखाई देगा। यदि अपग्रेड करना व्यावहारिक नहीं है, तो दो अल्पकालिक वर्कअराउंड उपलब्ध हैं। अविश्वसनीय स्रोतों से रिपॉजिटरी को `--recurse-submodules` के साथ क्लोन करने से बचें। इसके बजाय, रिपॉजिटरी को उनके सबमॉड्यूल को पुनरावर्ती रूप से क्लोन किए बिना क्लोन करने पर विचार करें, और प्रत्येक परत पर `git submodule update` चलाएँ। ऐसा करने से पहले, प्रत्येक नई `.gitmodules` फाइल का निरीक्षण करें ताकि यह सुनिश्चित हो सके कि इसमें संदिग्ध मॉड्यूल URL नहीं हैं।

• CVE-2023-22490_PoCPoC