Em sua mais recente atualização, o Git corrigiu falhas críticas de execução remota de código. Confira os detalhes dessas ameaças.
O Git corrigiu duas vulnerabilidades de segurança de gravidade crítica que podem permitir que invasores executem código arbitrário após explorar com sucesso os pontos fracos de estouro de buffer baseado em heap.
Git corrigiu falhas críticas de execução remota de código
As duas primeiras vulnerabilidades (CVE-2022-41903 no mecanismo de formatação de confirmação e CVE-2022-23521 no analisador .gitattributes) foram corrigidas na quarta-feira em novas versões desde a v2.30.7.
O terceiro, rastreado como CVE-2022-41953, ainda está aguardando um patch, mas os usuários podem contornar o problema não usando o software Git GUI para clonar repositórios ou evitar a clonagem de fontes não confiáveis.
Essa era uma terceira falha específica do Windows que afeta a ferramenta Git GUI causada por uma fraqueza de caminho de pesquisa não confiável permite que agentes de ameaças não autenticados executem ataques de baixa complexidade de código não confiável.
Especialistas em segurança do X41 (Eric Sesterhenn e Markus Vervier) e GitLab (Joern Schneeweisz) encontraram essas vulnerabilidades como parte de uma auditoria de código-fonte de segurança do Git patrocinada pela OSTIF.
“O problema mais grave descoberto permite que um invasor acione uma corrupção de memória baseada em heap durante operações de clonagem ou pull, o que pode resultar na execução de código. Outro problema crítico permite a execução de código durante uma operação de arquivamento, que geralmente é executada por Git forges”, disseram os especialistas em segurança X41.
“Além disso, um grande número de problemas relacionados a números inteiros foi identificado, o que pode levar a situações de negação de serviço, leituras fora do limite ou simplesmente casos de canto mal tratados em grandes entradas.”
| Pacote | Versões afetadas | Versões corrigidas |
| git-for-windows | <=2.39.0(2) | >=2.39.1 |
| git | <= v2.30.6, v2.31.5, v2.32.4, v2.33.5, v2.34.5, v2.35.5, v2.36.3, v2.37.4, v2.38.2, v2.39.0 | >= v2.30.7, v2.31.6, v2.32.5, v2.33.6, v2.34.6, v2.35.6, v2.36.4, v2.37.5, v2.38.3, v2.39.1 |
Em todos os casos, a maneira mais eficaz de se defender contra ataques que tentam explorar essas vulnerabilidades é atualizar para a versão mais recente do Git (v2.39.1).
Os usuários que não podem atualizar imediatamente para resolver o bug crítico de execução remota de código CVE-2022-41903 também podem tomar as seguintes medidas para garantir que os invasores não possam abusar da funcionalidade vulnerável do Git:
Desative ‘git archive’ em repositórios não confiáveis ou evite executar o comando em repositórios não confiáveis
Se ‘git archive‘ for exposto via ‘git daemon‘, desative-o ao trabalhar com repositórios não confiáveis executando o comando ‘git config --global daemon.uploadArch false‘.
“Recomendamos fortemente que todas as instalações executando uma versão afetada pelos problemas [..] sejam atualizadas para a versão mais recente o mais rápido possível”, alertou o GitLab.