2023/2/14 Gitに深刻な脆弱性がみつかりました （CVE-2023-23946, CVE-2023-22490） #GitLab #Git

 

Gitに、1/25にお知らせした脆弱性に加えて、新たに深刻な脆弱性が見つかりました。 こちらのGitLabの記事に解説が掲載されています。 各方面からもアップデート版がリリースされています。
すみやかにご利用中のGitのアップデートを実施してください。

脆弱性について

• CVE-2023-23946: This can be used to execute arbitrary commands in GitLab installations within GitLab's Gitaly environment.
  特別に細工された入力を git apply で適用し、作業ツリー外のパスを上書きすることが可能です。これを利用すると、GitLab の Gitaly 環境下で任意のコマンドを実行することができます。
• CVE-2023-22490: This can include arbitrary files based on known paths on the victim's filesystem within the malicious repository's working copy, allowing for data exfiltration.
  特別に細工されたリポジトリを使うと、ファイルシステム上の既知のパスにある任意のファイルへのシンボリックリンクを、悪意のあるリポジトリのワーキングツリー内に含めることができ、データの流出が可能になります。

Gitの対応状況

• "git apply" overwriting paths outside the working tree (CVE-2023-23946)
  2023-02-07にリリースされたバージョンで修正済みです。
• Local clone-based data exfiltration with non-local transports (CVE-2023-22490)
  2023-02-07にリリースされたバージョンで修正済みです。

各ベンダーごとの対応状況

• GitLab Critical Security Release: 15.8.2, 15.7.7 and 15.6.8
  • 脆弱性の影響を受けるバージョン: 14.1以降で本リリースより前の全バージョン
    (なお、1/25にお知らせした脆弱性は過去の全バージョンが影響を受けます。)
• Windows: https://git-scm.com/download/win
  • (2.39.2で修正済: https://github.com/git-for-windows/git/releases/tag/v2.39.2.windows.1)
• Ubuntu: https://ubuntu.com/security/notices/USN-5871-1