Git’in, en kritik olanı (CVE-2024-32002) saldırganlar tarafından bir “klonlama” işlemi sırasında uzaktan kod yürütmek için kullanılabilen beş güvenlik açığına yönelik düzeltmelerle birlikte yeni Git sürümleri çıktı.
Git hakkında
Git işbirlikçi yazılım geliştirme için yaygın olarak popüler olan dağıtılmış bir sürüm kontrol sistemidir. Windows, macOS, Linux ve çeşitli *BSD dağıtımlarını çalıştıran makinelere kurulabilir.
Web tabanlı yazılım geliştirme platformları GitHub ve GitLab, Git’i temel alır. Microsoft’un entegre geliştirme ortamı, doğrudan yerleşik Git araçlarına (MinGit) ve diğer IDE’lere sahiptir.
CVE-2024-32002 ve diğer düzeltilen güvenlik açıkları
CVE-2024-32002 alt modüllere sahip özel hazırlanmış Git depolarının Git’i kandırıp dosyaları bir dosyaya yazmasına olanak tanıyan kritik bir güvenlik açığıdır.
“Bu, Git’i bir dizin ve sembolik bir bağlantıyla karıştırmanın birleşimiyle mümkündür; bu yalnızca Git’in birini veya diğerini yazabilmesi ancak ikisini birden yazamaması durumunda farklılık gösterir.
Bu karışıklık, Git’i klonlama işlemi devam ederken yürütülecek bir kanca yazması için manipüle etmek için kullanılabilir, bu da kullanıcıya yürütülen kodu inceleme fırsatı vermez, “Windows için Git sorumlusu Johannes Schindelin açıkladı.
CVE-2024-32004 aynı zamanda uzaktan kod yürütülmesine de izin verir, ancak yalnızca çok kullanıcılı makinelerde: “Bir saldırgan, bir nesnesi eksik olan kısmi bir klon gibi görünecek şekilde yerel bir depo hazırlayabilir, böylece bu depo klonlandığında Git rastgele kod çalıştıracaktır.”
CVE-2024-32465 saldırganların güvenilmeyen depoları klonlamaya yönelik korumaları atlamasına izin verebilir, CVE-2024-32020 güvenilmeyen kullanıcıların klonlanmış (yerel) depodaki nesneleri değiştirmesine izin verebilir ve CVE-2024-32021 Git’i, Git çalışma ağacının ve Git çalışma ağacının dışındaki dosyalara yazmak üzere manipüle etmek için kullanılabilir.
Düzeltmeler ve güvenlik değişiklikleri
Güvenlik açıkları Git v2.45.1, v2.44.1, v2.43.4, v2.42.2, v2.41.1, v2.40.2 ve v2.39.4’te düzeltildi.
Ayrıca klonlama sürecini daha güvenli hale getirmek için Git’te daha fazla değişiklik yapıldığını da paylaştı: uzaktan kod yürütmeye karşı koruma iyileştirmeleri, sembolik bağlantıların ve dizinlerin daha iyi işlenmesi, kancaları (komut dosyaları) çalıştırmanın daha güvenli bir yolu ve daha fazlası.
“Bu güvenlik açıklarına karşı korunmak için Git’in en son sürümüne yükseltme yapmak çok önemli. Hemen güncelleme yapamıyorsanız, lütfen depoları nereden kopyaladığınıza dikkat edin,” diye tavsiyede bulundu Schindelin.
Git’in sabit sürümleri, en son GitHub Desktop sürümlerine (Windows ve macOS için) eklenmiştir. Düzeltmeler (1, 2 CVE-2024-32002 ve CVE-2024-32004 için ) Visual Studio’da uygulanmıştır.
0 Yorumlar