Git латает дыры: сразу пять исправлений делают работу с репозиториями безопаснее

14 мая 2024 года вышла новая версия Git — v2.45.1, устраняющая сразу пять уязвимостей безопасности. Это обновление затрагивает все основные платформы: Windows, macOS, Linux и BSD.

В GitHub Desktop и Visual Studio, которые включают компоненты Git, также выпущены соответствующие обновления. Исправленные уязвимости включают:

1. CVE-2024-32002 (оценка CVSS 9.1). Репозитории с подмодулями могут заставить Git выполнять команды из директории «.git/» во время клонирования, что может привести к удалённому выполнению кода.
2. CVE-2024-32004 (оценка CVSS 8.2). Злоумышленник может создать локальный репозиторий и использовать его для выполнения произвольного кода при клонировании.
3. CVE-2024-32465 (оценка CVSS 7.4). Клонирование из ZIP-файлов, содержащих Git-репозитории, может обойти существующие защиты, потенциально выполняя небезопасные скрипты.
4. CVE-2024-32020 (оценка CVSS 3.9). Локальные клоны на одном диске могут позволить недоверенным пользователям изменять файлы в базе данных объектов клонированного репозитория.
5. CVE-2024-32021 (оценка CVSS 3.9). Клонирование локального репозитория с символическими ссылками может привести к созданию жёстких ссылок на произвольные файлы в директории «objects/».

Обновление до последней версии необходимо для защиты от вышеописанных уязвимостей. Если обновление по какой-то причине невозможно, следует проявлять особую осторожность при клонировании репозиториев из ненадёжных источников.

Улучшение безопасности при клонировании Git-репозиториев стало главной повесткой последних обновлений. Git стремится сделать клонирование безопасным, даже для ненадёжных репозиториев, и теперь эта возможность подробно задокументирована.

Команда разработчиков также добавила ряд защитных мер для уменьшения вероятности подобных уязвимостей в будущем. Включены улучшения для защиты от удалённого выполнения кода и более безопасного выполнения скриптов.

Своевременное обновление до последней версий крайне важно для предотвращения возможных атак на цепочку поставок и выполнения нежелательного кода.