Sicherheitslücken in Git erlauben Remote Code Execution

Die Git-Community hat heute mehrere neue Versionen veröffentlicht, um fünf kritische Sicherheitslücken zu beheben. Ein Upgrade auf die neueste Git-Version ist unerlässlich, um sich vor diesen Schwachstellen zu schützen.

Git, ein zentrales Tool im Softwareentwicklungsprozess, hat in seiner neuesten Version 2.45.1 vom 14. Mai 2024 fünf Sicherheitslücken geschlossen. Diese betreffen Windows, macOS, Linux und *BSD, sodass die Updates für alle Plattformen wichtig sind. Die neue Version wurde in Zusammenarbeit mit Visual Studio und GitHub Desktop veröffentlicht, die beide Git als Bestandteil enthalten.

Die Schwachstellen im Detail:

1. CVE-2024-32002 (Kritisch, Windows & macOS):
   Git-Repositories mit Submodulen können Git dazu verleiten, einen Hook aus dem .git/ Verzeichnis während eines Klonvorgangs auszuführen, was zu Remote Code Execution führt.
2. CVE-2024-32004 (Hoch, Multi-User-Maschinen):
   Ein Angreifer kann ein lokales Repository erstellen, das bei der Klonung beliebigen Code ausführt.
3. CVE-2024-32465 (Hoch, alle Setups):
   Das Klonen von .zip-Dateien, die Git-Repositories enthalten, kann Schutzmechanismen umgehen und unsichere Hooks ausführen.
4. CVE-2024-32020 (Niedrig, Multi-User-Maschinen):
   Lokale Klone auf demselben Laufwerk können es untrusted Benutzern ermöglichen, hart verlinkte Dateien im Objekt-Repository zu ändern.
5. CVE-2024-32021 (Niedrig, Multi-User-Maschinen):
   Das Klonen eines lokalen Repositories mit Symlinks kann zu Hardlinks auf beliebige Dateien im objects/ Verzeichnis führen.

Ein sofortiges Upgrade auf die neueste Git-Version ist dringend empfohlen. Wenn ein Upgrade nicht sofort möglich ist, sollten Nutzer vorsichtig sein, von welchen Quellen sie Repositories klonen.

Die Hauptthematik dieser Sicherheitsupdates ist die Verbesserung der Sicherheit beim Klonen von Git-Repositories. Git hat stets angestrebt, dass das Klonen auch unzuverlässiger Repositories sicher ist und dass solche Repositories von potenziell bösartigen Konfigurationen und Hooks bereinigt werden können. Diese Prinzipien sind in diesem Release klar dokumentiert.

Neben den spezifischen Sicherheitsupdates wurden auch zusätzliche Maßnahmen ergriffen, um die Schwere künftiger Sicherheitsprobleme zu verringern. Dazu gehören:

• Verbesserte Handhabung von Symlinks und Verzeichnissen während des Klonvorgangs.
• Sichereres Ausführen von Hooks, um unerlaubte Codeausführung zu verhindern.
• Schutz der Konfigurationseinstellungen für das Git-Templates-Verzeichnis.
• Warnungen über Symlinks, die auf das .git/ Verzeichnis verweisen.