ரிமோட் குறியீடு செயல்படுத்தலை அனுமதிக்கும் Git இல் இரண்டு பாதிப்புகளை அவர்கள் கண்டுபிடித்தனர்

பாதிப்பு

சுரண்டப்பட்டால், இந்த குறைபாடுகள் தாக்குபவர்கள் முக்கியமான தகவல்களுக்கு அங்கீகரிக்கப்படாத அணுகலைப் பெற அனுமதிக்கலாம் அல்லது பொதுவாக சிக்கல்களை ஏற்படுத்தும்

வேறுபட்ட வெளியீடுகணினி சரிசெய்தல் வெளியீடுகள் விநியோகிக்கப்பட்ட மூலக் கட்டுப்பாடு கிட், இதில் இரண்டு பாதிப்பு திருத்தங்கள் செயல்படுத்தப்பட்டுள்ளன என்று கண்டறியப்பட்டது.

கண்டறியப்பட்ட ஃபாலஸ்கள் குறித்து, இவை குறிப்பிடப்பட்டுள்ளன உங்கள் குறியீட்டின் செயல்பாட்டை ஒழுங்கமைக்க உங்களை அனுமதிக்கிறது பயனரின் கணினியில் "git archive" கட்டளையைப் பயன்படுத்தும் போது மற்றும் நம்பத்தகாத வெளிப்புற களஞ்சியங்களுடன் பணிபுரியும் போது.

பாதிப்புகள் கமிட் ஃபார்மேட் குறியீடு மற்றும் கோப்பு பாகுபடுத்தலில் உள்ள பிழைகளால் ஏற்படுகிறது ".gitattributes", இது வெளிப்புற களஞ்சியங்களை செயலாக்கும் போது, ​​ஆஃப்-ஹீப் மெமரி பகுதிக்கு எழுதுவதற்கும் நினைவகத்திலிருந்து தன்னிச்சையான தரவைப் படிப்பதற்கும் வழிவகுக்கும்.

இரண்டும் பாதிப்புகள் Git கோட்பேஸின் பாதுகாப்பு தணிக்கையின் போது அடையாளம் காணப்பட்டது, OSTIF (திறந்த மூல தொழில்நுட்ப மேம்பாட்டு நிதி)க்காக X41 ஆல் உருவாக்கப்பட்டது, திறந்த மூல திட்டங்களின் பாதுகாப்பை வலுப்படுத்த உருவாக்கப்பட்டது.

கீழே விவாதிக்கப்பட்ட இரண்டு முக்கியமான சிக்கல்களுக்கு மேலதிகமாக, தணிக்கையில் ஒரு கடுமையான பாதிப்பு, ஒரு நடுத்தர தீவிரத்தன்மை பாதிப்பு மற்றும் நான்கு அபாயகரமான சிக்கல்களும் கண்டறியப்பட்டன. மேலும், குறியீடு தளத்தின் பாதுகாப்பை மேம்படுத்த 27 பரிந்துரைகள் செய்யப்பட்டன.

  • CVE-2022-41903: "%<(", "%<|(", "%>(", "%>> (" மற்றும் "%><(") போன்ற திணிப்பு வழிமுறைகளில் பெரிய ஆஃப்செட் மதிப்புகளைக் கையாளும் போது கமிட் தகவல் வடிவக் குறியீட்டில் முழு எண் வழிதல் )" செயல்பாட்டில் ஒரு முழு எண் வழிதல் ஏற்படுகிறது format_and_pad_commit() சைஸ்_டி மாறிக்கான int வகையைப் பயன்படுத்துவதால், இது memcpy() எனப்படும் போது, ​​பிளாக் காப்பி ஆஃப்செட் அளவை தீர்மானிப்பதில் பங்கேற்கிறது.

சிறப்பாக வடிவமைக்கப்பட்ட வடிவமைப்பு அளவுருக்கள் மூலம் நேரடியாக அழைக்கப்படும் போது (உதாரணமாக, "git log --format=..." ஐ இயக்கும் போது), மற்றும் "git archive" கட்டளையை செயல்படுத்தும் போது மறைமுகமாக வடிவமைத்தல் பயன்படுத்தப்படும் போது பாதிப்பு தன்னை வெளிப்படுத்துகிறது. களஞ்சியம், தாக்குபவர்களால் கட்டுப்படுத்தப்படுகிறது.

இரண்டாவது வழக்கில், ".gitattributes" கோப்பில் உள்ள ஏற்றுமதி-துணை அளவுருவின் மூலம் வடிவமைப்பு மாற்றிகள் அமைக்கப்படுகின்றன, அதை தாக்குபவர் தங்கள் களஞ்சியத்தில் வைக்கலாம். குவியல் மீது தன்னிச்சையான பகுதிகளைப் படிக்கவும் எழுதவும் சிக்கலைப் பயன்படுத்திக் கொள்ளலாம் மற்றும் சரிபார்க்கப்படாத களஞ்சியங்களுடன் பணிபுரியும் போது தீங்கிழைக்கும் குறியீட்டை செயல்படுத்தலாம்.

  • CVE-2022-23521: ஒரு களஞ்சியத்தில் உள்ள .gitattributes கோப்புகளின் உள்ளடக்கங்களை பாகுபடுத்தும் போது முழு எண் வழிதல், அதிக எண்ணிக்கையிலான கோப்பு பாதை வடிவங்கள் அல்லது அதிக எண்ணிக்கையிலான பண்புக்கூறுகளை ஒரே வடிவத்துடன் பாகுபடுத்தும் போது மற்றும் மிகப் பெரிய பண்புக்கூறைப் பாகுபடுத்தும் போது வெளிப்படும். குவியல் மீது தன்னிச்சையான பகுதிகளைப் படிக்கவும் எழுதவும் மற்றும் சரிபார்க்கப்படாத களஞ்சியத்துடன் பணிபுரியும் போது தாக்குபவர்களின் குறியீட்டை இயக்கவும், அங்கு தாக்குபவர் சிறப்பாக வடிவமைக்கப்பட்ட .gitattributes கோப்பை வைத்து, அது குறியீட்டிற்குள் வருவதை உறுதிசெய்யலாம்.

கூடுதலாக, மேலும் ஒரு பாதிப்பை சுட்டிக்காட்டலாம் (சி.வி.இ -2022-41953) Git for Windows தயாரிப்பில், இது வரைகலை இடைமுகம் மூலம் சரிபார்க்கப்படாத வெளிப்புற களஞ்சியங்களை குளோனிங் செய்யும் போது குறியீட்டை செயல்படுத்துவதை ஒழுங்கமைக்க அனுமதிக்கிறது.

பிரச்சனை செயல்பாட்டிற்குப் பிறகு Windows GUI க்கான Git காரணமாக உள்ளது டி «உன்னை சரிபார்க்கவும்t» எழுத்துப்பிழை சரிபார்ப்பு நிரலை இயக்குவது போன்ற சில பிந்தைய செயலாக்க கட்டளைகளை தானாக இயக்குகிறது, எழுத்துப்பிழை சரிபார்ப்பு கோப்பு தேடல் பாதைகள் குளோன் செய்யப்பட்ட வேலை மரத்தை உள்ளடக்கியிருந்தாலும் (தாக்குதல் களஞ்சிய வேலையின் மரத்தில் எழுத்துப்பிழை சரிபார்ப்பைச் சேர்ப்பதில் கொதிக்கிறது. )

விநியோகங்களில் தொகுப்பு புதுப்பிப்புகளின் வெளியீட்டை பக்கங்களில் கண்காணிக்கலாம்: டெபியன்உபுண்டுஜென்டூRHELSUSEவளைவு, ஃப்ரீNetBSD இல்

தாக்குதலின் அபாயத்தைக் குறைக்க ஒரு புதுப்பிப்பை சரியான நேரத்தில் நிறுவ முடியாவிட்டால், நம்பத்தகாத களஞ்சியங்களுடன் வேலை செய்வதைத் தவிர்க்க பரிந்துரைக்கப்படுகிறது மற்றும் "git archive" கட்டளையைப் பயன்படுத்துகிறது.

"என்ற கட்டளையை நினைவில் கொள்வது அவசியம்.git காப்பகம்» மறைமுகமாக இயக்கப்படலாம், எடுத்துக்காட்டாக, git டீமானுக்குள் இருந்து. செயல்படுத்துவதை முடக்குவதற்கு «git கோப்புe” git deemon இல், அளவுருவை மாற்றவும் daemon.uploadArch கட்டளையுடன் "git config --global daemon.uploadArch false".


உங்கள் கருத்தை தெரிவிக்கவும்

உங்கள் மின்னஞ்சல் முகவரி வெளியிடப்பட்ட முடியாது. தேவையான புலங்கள் குறிக்கப்பட்டிருக்கும் *

*

*

  1. தரவுக்கு பொறுப்பு: மிகுவல் ஏஞ்சல் கேடன்
  2. தரவின் நோக்கம்: கட்டுப்பாட்டு ஸ்பேம், கருத்து மேலாண்மை.
  3. சட்டபூர்வமாக்கல்: உங்கள் ஒப்புதல்
  4. தரவின் தொடர்பு: சட்டபூர்வமான கடமையால் தவிர மூன்றாம் தரப்பினருக்கு தரவு தெரிவிக்கப்படாது.
  5. தரவு சேமிப்பு: ஆக்சென்டஸ் நெட்வொர்க்குகள் (EU) வழங்கிய தரவுத்தளம்
  6. உரிமைகள்: எந்த நேரத்திலும் உங்கள் தகவல்களை நீங்கள் கட்டுப்படுத்தலாம், மீட்டெடுக்கலாம் மற்றும் நீக்கலாம்.