В Git исправлены уязвимости, позволяющие удаленное выполнение кода

В Git и сервисах, предоставляющих услуги репозитория, обнаружены две уязвимости, позволяющие удаленно исполнять код на пользовательских устройствах. Разработчики уже устранили бреши, находящиеся в коде системы контроля версий, в обновлении Git 2.17.1. Специалисты рекомендуют не откладывать установку новой версии.

Подробнее об уязвимостях

Оба бага в защите используют одинаковую процедуру заражения: для выполнения удаленного кода жертва должна скопировать себе зараженный репозиторий.

Первая уязвимость CVE-2018-11235, найденная Этьеном Стальмансом (Etienne Stalmans), позволяет злоумышленнику совершить атаку подстановки папки из-за ошибки при валидации имен. Чтобы обмануть файловую систему и выполнить код, нужно вставить ../ перед именем папки.

Вторая брешь CVE-2018-11233 эксплуатирует способ обработки путей к файлам в NTFS-системах. Злоумышленник, воспользовавшийся этой уязвимостью, получает доступ к памяти.

А как же серверная сторона?

Разработчики также выпустили исправление для серверной части системы контроля версий. Обновление позволяет сервисам, предоставляющим услуги Git, обнаруживать репозитории с вредоносным кодом и блокировать возможность загрузки.

Патчи с исправлениями уже развернуты в GitHub и Visual Studio Team Services. Они защищают сервисы от возможных атак.

Хостинги системы контроля версий заботятся о безопасности репозиториев пользователей. В начале мая 2018 года администрация GitHub очистила сервис от 450 тысяч уязвимостей, связанных с устаревшими библиотеками.