Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-06647

Опубликовано: 08 нояб. 2022
Источник: fstec
CVSS3: 5.5
CVSS2: 4.9
EPSS Низкий

Описание

Уязвимость распределенной системы контроля версий Git для Windows связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации.

Вендор

ООО «РусБИТех-Астра»
Сообщество свободного программного обеспечения
Microsoft Corp.
Fedora Project
АО "НППКТ"
АО «НТЦ ИТ РОСА»
Linus Torvalds, Junio Hamano
Apple Inc.
АО «ИВК»

Наименование ПО

Astra Linux Special Edition
Debian GNU/Linux
Microsoft Visual Studio
Fedora
ОСОН ОСнова Оnyx
ROSA Virtualization
РОСА ХРОМ
Git
Xcode
АЛЬТ СП 10

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
10 (Debian GNU/Linux)
2017 15.9 (от 15.0 до 15.8 включительно) (Microsoft Visual Studio)
35 (Fedora)
1.7 (Astra Linux Special Edition)
2022 17.0 (Microsoft Visual Studio)
2019 16.11 (от 16.0 до 16.10 включительно) (Microsoft Visual Studio)
36 (Fedora)
2022 17.2 (Microsoft Visual Studio)
37 (Fedora)
2022 17.3 (Microsoft Visual Studio)
до 2.7 (ОСОН ОСнова Оnyx)
2.1 (ROSA Virtualization)
12.4 (РОСА ХРОМ)
2.30.6 (Git)
2.31.0 до 2.31.5 (Git)
от 2.32.0 до 2.32.4 (Git)
от 2.33.04 до 2.33.5 (Git)
от 2.34.0 до 2.34.5 (Git)
от 2.35.0 до 2.35.5 (Git)
от 2.36.0 до 2.36.3 (Git)
от 2.37.0 до 2.37.4 (Git)
2.38.0 (Git)
до 14.1 (Xcode)
- (АЛЬТ СП 10)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Microsoft Corp. Windows -
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 35
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Fedora Project Fedora 36
Fedora Project Fedora 37
АО "НППКТ" ОСОН ОСнова Оnyx до 2.7
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Microsoft Corp.:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29012
Для Git:
https://github.com/git/git/security/advisories/GHSA-3wp6-j8xr-qw85
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2022/12/msg00025.html
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/C7B6JPKX5CGGLAHXJVQMIZNNEEB72FHD/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JMQWGMDLX6KTVWW5JZLVPI7ICAK72TN7/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OHNO2FB55CPX47BAXMBWUBGWHO6N6ZZH/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UKFHE4KVD7EKS5J3KTDFVBEKU3CLXGVV/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VFYXCTLOSESYIP72BUYD6ECDIMUM4WMB/
Для программных продуктов Apple Inc.:
https://support.apple.com/kb/HT213496
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения git до версии 1:2.39.1-0.1
Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2292
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для ОС Astra Linux Special Edition 1.7:
обновить пакет git до 1:2.30.2-1+deb11u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет git до 1:2.11.0-3+deb9u10+ci202408021513+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2398

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 84%
0.02341
Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.5
ubuntu
больше 2 лет назад

Git is an open source, scalable, distributed revision control system. Versions prior to 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3, and 2.37.4 are subject to exposure of sensitive information to a malicious actor. When performing a local clone (where the source and target of the clone are on the same volume), Git copies the contents of the source's `$GIT_DIR/objects` directory into the destination by either creating hardlinks to the source contents, or copying them (if hardlinks are disabled via `--no-hardlinks`). A malicious actor could convince a victim to clone a repository with a symbolic link pointing at sensitive information on the victim's machine. This can be done either by having the victim clone a malicious repository on the same machine, or having them clone a malicious repository embedded as a bare repository via a submodule from any source, provided they clone with the `--recurse-submodules` option. Git does not create symbolic links in the `$GIT_DIR/objects...

CVSS3: 5.5
redhat
больше 2 лет назад

Git is an open source, scalable, distributed revision control system. Versions prior to 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3, and 2.37.4 are subject to exposure of sensitive information to a malicious actor. When performing a local clone (where the source and target of the clone are on the same volume), Git copies the contents of the source's `$GIT_DIR/objects` directory into the destination by either creating hardlinks to the source contents, or copying them (if hardlinks are disabled via `--no-hardlinks`). A malicious actor could convince a victim to clone a repository with a symbolic link pointing at sensitive information on the victim's machine. This can be done either by having the victim clone a malicious repository on the same machine, or having them clone a malicious repository embedded as a bare repository via a submodule from any source, provided they clone with the `--recurse-submodules` option. Git does not create symbolic links in the `$GIT_DIR/objects...

CVSS3: 5.5
nvd
больше 2 лет назад

Git is an open source, scalable, distributed revision control system. Versions prior to 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3, and 2.37.4 are subject to exposure of sensitive information to a malicious actor. When performing a local clone (where the source and target of the clone are on the same volume), Git copies the contents of the source's `$GIT_DIR/objects` directory into the destination by either creating hardlinks to the source contents, or copying them (if hardlinks are disabled via `--no-hardlinks`). A malicious actor could convince a victim to clone a repository with a symbolic link pointing at sensitive information on the victim's machine. This can be done either by having the victim clone a malicious repository on the same machine, or having them clone a malicious repository embedded as a bare repository via a submodule from any source, provided they clone with the `--recurse-submodules` option. Git does not create symbolic links in the `$GIT_DIR/objects` d

msrc
больше 2 лет назад

GitHub: CVE-2022-39253 Local clone optimization dereferences symbolic links by default

CVSS3: 5.5
debian
больше 2 лет назад

Git is an open source, scalable, distributed revision control system. ...

EPSS

Процентиль: 84%
0.02341
Низкий

5.5 Medium

CVSS3

4.9 Medium

CVSS2