CVE-2022-39253

概要

Gitは、オープンソースでスケーラブルな分散リビジョン管理システムです。2.30.6、2.31.5、2.32.4、2.33.5、2.34.5、2.35.5、2.36.3、2.37.4より前のバージョンは、悪意のある攻撃者への機密情報の漏えいの影響を受けます。ローカルクローン（クローンのソースとターゲットが同じボリューム上にある場合）を実行するとき、Gitはソースの`$GIT_DIR/objects`ディレクトリの内容を、ソースの内容へのハードリンクを作成するか、または（`--no-hardlinks`でハードリンクが無効になっている場合）それらをコピーすることによって、宛先にコピーします。悪意のある攻撃者は、被害者を騙して、被害者のマシン上の機密情報を指すシンボリックリンクを持つリポジトリをクローンさせることができます。これは、被害者に同じマシン上の悪意のあるリポジトリをクローンさせるか、`--recurse-submodules`オプションを指定してクローンする場合に限り、サブモジュールを介してベアリポジトリとして埋め込まれた悪意のあるリポジトリを任意のソースからクローンさせることによって行うことができます。Gitは`$GIT_DIR/objects`ディレクトリにシンボリックリンクを作成しません。この問題は2022-10-18に公開されたバージョンで修正され、v2.30.xにバックポートされています。潜在的な回避策：共有マシン上で`--local`最適化を使用して信頼できないリポジトリをクローンすることは避けてください。`git clone`に`--no-local`オプションを渡すか、`file://`スキームを使用するURLからクローンしてください。あるいは、`--recurse-submodules`を使用して信頼できないソースからリポジトリをクローンすることを避けるか、`git config --global protocol.file.allow user`を実行してください。

• docker-cve-2022-39253-pocPoC

  CVE-2022-39253に対する概念実証エクスプロイト。悪意のあるGitリポジトリのビルドを介してDockerコンテナエスケープを実証し、ホストファイルシステムの読み取りアクセスを可能にします。