Mit Git v2.35.2 beheben die Entwickler ein Sicherheitsproblem, dass auf Multiuser-Maschinen auftreten kann.
Die neue Version 2.35.2 von Git ist zusammen mit den Releases für ältere Wartungsversionen v2.30.3, v2.31.2, v2.32.1, v2.33.2 und v2.34.2 an den üblichen Stellen verfügbar, schreibt Git-Maintainer Junio C Hamano an die Mailingliste.
Die Lücke könnte ein böswilliger Angreifer ausnutzen um ein .git-Verzeichnis an einem freigegebenen Speicherort oberhalb des aktuellen Arbeitsverzeichnisses eines Opfers zu erstellen, heißt es in einem Blogbeitrag zum Problem. Unter Windows könnte ein Angreifer dann etwa das Verzeichnis C:\.git\config erstellen, was dazu führen würde, dass alle Git-Aufrufe, die außerhalb eines Repositorys erfolgen, dessen konfigurierte Werte lesen, schreibt Github-Entwickler Taylor Blau in seinem Post und fügt hinzu, dass Github von der Lücke nicht betroffen sei.
Gelingt es, die Lücke auszunutzen, könne man, da einige Konfigurationsvariablen (wie core.fsmonitor) Git dazu veranlassen, beliebige Befehle auszuführen, bei der Arbeit auf einem gemeinsam genutzten Rechner Befehle ausführen.
Die Ankündigung von Git-Maintainer Junio C Hamano nennt die Download-Möglichkeiten.
