В Git исправили уязвимость удаленного выполнения кода

В Git исправили уязвимость удаленного выполнения кода

Разработчики Git Project на днях сообщили о критической уязвимости в клиенте командной строки, Git Desktop и Atom. Эта брешь способна позволить вредоносным репозиториям удаленно выполнять команды на уязвимой машине. Проблеме был присвоен идентификатор CVE-2018-17456.

Эта уязвимость схожа с CVE-2017-1000117, которая допускает инъекцию кода. Обе эти бреши позволяют злонамеренным репозиториям создать файл .gitmodules, который будет содержать URL-адрес, начинающийся с тире.

Используя тире, атакующий может задействовать параметр -recurse-submodules, в этом случае командная строка интерпретирует URL как команду. Это может привести к удаленному выполнению кода на компьютере.

«При использовании ‘git clone --recurse-submodules’ Git парсит файл .gitmodules, передавая поле URL в качестве аргумента. Это происходит из-за использования тире в начале адреса. Благодаря этой технике киберпреступник может запустить скрипт», — объясняет специалист.

Эксперт привел пример вредоносного файла .gitmodules, его содержимое мы публикуем ниже:

[submodule "test"]
path = test
url = ssh://-oProxyCommand=touch VULNERABLE/git@github.com:/timwr/test.git

Разработчики исправили проблему с выходом версий Git v2.19.1, GitHub Desktop 1.4.2, Github Desktop 1.4.3-beta0, Atom 1.31.2 и Atom 1.32.0-beta3.

Всем пользователям настоятельно рекомендуется обновить свои версии вышеозначенных приложений.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Команда GIS CYBERTEAM представила «Газинформсервис» на The Standoff

16-19 мая 2022 г. совместно с форумом Positive Hack Days прошли киберучения The Standoff. От имени компании «Газинформсервис» в соревнованиях выступила команда GIS CYBERTEAM.

На площадке мероприятия собрались более 150 белых хакеров, чтобы найти уязвимости в защите виртуальных компаний из разных отраслей экономики, и попытались парализовать жизнь внутри модели государства, представленной на гексагоне. Взломщикам были противопоставлены пять команд защитников, которые в режиме реального времени отслеживали и расшифровывали проводимые атаки.

Компанию «Газинформсервис» представила сборная специалистов по информационной безопасности GIS CYBERTEAM. Она традиционно выступила в синем углу команд-защитников, главными задачами которых на протяжении четырех дней кибербитвы стали обнаружение, регистрация и расследование произошедших инцидентов, а также подготовка отчетов с подробным описанием цепочек действий злоумышленников. За специалистами был закреплен сегмент электроэнергетики.

«В нашу команду вошли высококлассные специалисты нескольких направлений: систем мониторинга, выявления уязвимостей, поведенческого анализа и анализа сетевого трафика. Каждый из них выложился на максимум и, я уверен, приобрел уникальный опыт работы в обороне», — говорит капитан команды Сергей Носков.

За четыре дня киберучений команды атакующих 63 раза реализовали недопустимые события — 30 из них были уникальными. За это же время защитники сдали 287 отчетов об инцидентах, 45 из которых зафиксировала команда GIS CYBERTEAM.

Участники команды оценивают прошедшие соревнования крайне положительно, хотя и случались всевозможные заминки — техника вещь ненадежная и может подвести в самый неподходящий момент, особенно когда по другую сторону находятся настоящие профессионалы своего дела. В остальном же Город F — это вполне реальная инфраструктура с хорошо настроенными рабочими процессами.

«Для нас это хороший опыт работ с продуктами, предложенными для работы, — делится специалист по системам мониторинга информационных систем Сергей Варлапов. — Можно хорошо понять, как они работаю изнутри: как с их помощью можно детектировать работу злоумышленников, как заводить и расследовать инциденты. Все это невероятно затягивает».

Основной целью The Standoff заявлено объединение усилий белых хакеров, бизнеса и государства, чтобы выявить возможные сценарии кибератак и разработать стратегии их предотвращения. Действительно, после прохождения таких масштабных киберучений появляется не только пища для размышлений, но и практическая база для написания дополнительных правил политик безопасности.

«Experience – must have, особенно для тех, кто предпочитает работать в SOC-центрах на стороне синих. Такого количества событий за короткий промежуток времени вы больше нигде не увидите», — говорит специалист по системам мониторинга информационных систем Дмитрий Ньорба.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru