Опубликованы корректирующие выпуски распределённой системы управления исходными текстами Git 2.38.1, 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5,...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=57940

• Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 11:16 , 19-Окт-22
  • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 13:14 , 19-Окт-22
    • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 13:20 , 19-Окт-22
    • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,YetAnotherOnanym, 14:24 , 19-Окт-22
      • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 15:33 , 19-Окт-22
• Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 11:30 , 19-Окт-22
  • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 13:14 , 19-Окт-22
• Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,yet another anonymous, 12:12 , 19-Окт-22
  • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 12:28 , 19-Окт-22
    • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,yet another anonymous, 12:43 , 19-Окт-22
• Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,yet another anonymous, 12:21 , 19-Окт-22
  • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,Аноним, 12:25 , 19-Окт-22
    • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,yet another anonymous, 12:50 , 19-Окт-22
      • Уязвимости в Git, проявляющиеся при клонировании субмодулей ...,anonymous, 14:00 , 19-Окт-22

Ну, так надо было использовать Got из OpenBSD.

Там нет поддержки саб-модулей, Гот создаётся в первую очередь для OpenBSD, а там сабы не нужны.

> сабы не нужны

Да

Субмодули - это типичный пример того, когда на фичереквест надо отвечавть увесистой оплеухой.

Наверно корпорации проплатили

> целочисленное переполнение в функции split_cmdline()

да как вы такое делаете, демоны!

Элементарно, Ватсон - используем int вместо size_t:

https://github.com/git/git/commit/9c32cfb49c60fa8173b9666db0...

CVE-2022-39253 выглядит как-то странно. Если не сказать маразматично: файлы (локальные) будут получены, если у локального пользователя есть права для доступа к ним. Т.е. он и так их может получить, без git'а. В чём "уязвимость"-то?

Часто предоставляется доступ к выполнению команд git, но не даётся доступ к локальной системе. Например, выполняя клонирование в системах непрерывной интеграции и хостингах а-ля GitHub уязвимость позволяет утянуть левые данные из системы и от других пользователей.

А тут у вас все возможности, которые вы дали CI в деле. Собственно, git тут никакой новой дыры не открывает. А вот CI, это уже совсем другая история. Чем моднее, тем большее реш..то, причём "by design".

CVE-2022-39260 тоже странная: "может привести к выполнению произвольного кода в системе при передаче специально оформленной команды, размером больше 2 ГБ." т.е. вы в _своём_ шелле запускаете специально оформленную комманду размером больше 2GB. Хрен с ними, с перьями, но на это я бы посмотрел...

Например, хостинги могут предоставлять доступ к git shell и уязвимость позволяет не только загрузить данные (а git shell только это и даёт делать, из команд там только receive-pack, upload-pack, or upload-archive), но и выполнить любой код.

Если по git:// на сервере возможно аналогичное, то да, это дыра. Если нет, то отдача git shell'а для receeive-pack/upload-pack выглядит как-то глупо.

git shell используется для отдачи репозиториев по ssh, а не открытым текстом по git://