AlmaLinux 9.2 [TuxCare] セキュリティ更新プログラム:git/git-all/git-core/git-core-doc/git-credential-libsecret/etc 複数の脆弱性(ALMALINUX9.2:CLSA-2025:1739386567)

high Nessus プラグイン ID 361048

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1739386567アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- Git はリビジョンコントロールシステムです。バージョン 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2、および 2.39.4 より前では、ソースとターゲットのリポジトリが同じディスク上にある場合、ローカルクローンがターゲットリポジトリのオブジェクトデータベースにファイルをハードリンクする可能性があります。ソースリポジトリが別のユーザーによって所有されている場合、これらのハードリンクされたファイルは、信頼できないユーザーによっていつでも書き換えられる可能性があります。ローカルリポジトリのクローンを作成すると、Git はソースリポジトリのファイルをターゲットリポジトリにコピーまたはハードリンクします。これにより、適切なクローンを実行する場合と比較して、このようなローカルクローンの速度が大幅に向上し、ディスクスペースと計算時間の両方が節約されます。現在のユーザーとは異なるユーザーが所有している同じディスクにあるリポジトリのクローンを作成すると、そのようなハードリンクも作成されます。これらのファイルは、潜在的に信頼できないユーザーによって引き続き所有およびコントロールされ、将来的にはそれが自由に書き換えられる可能性があります。この問題は、バージョン 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2、2.39.4 で修正されました。(CVE-2024-32020)

- Git はリビジョンコントロールシステムです。バージョン 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2、および 2.39.4 より前では、ファイルシステムを介してシンボリックリンクを含むローカルソースリポジトリのクローンを作成すると、Git はターゲットリポジトリと同じファイルシステム上の「objects/」ディレクトリ内の任意のユーザー読み取り可能なファイルへハードリンクを作成する場合があります。ファイルシステム上にローカルリポジトリのクローンを作成すると、ターゲットの Git リポジトリの「objects/」ディレクトリ内の同じファイルシステムに、ユーザーが所有する任意のファイルへのハードリンクが作成される可能性があります。ファイルシステム上でリポジトリのクローンを作成する場合 (「file://」プロトコルまたは「--no-local」を明示的に指定しない場合)、ローカルクローン作成の最適化が使用されます。これには、オブジェクトファイルをコピーする代わりにハードリンクを試行することが含まれます。コードには、CVE-2022-39253 の修正の際に追加されたソースリポジトリのシンボリックリンクに対するチェックが含まれていますが、ハードリンク操作は最終的にはシンボリックリンクに従うため、これらのチェックが競合する可能性があります。ファイルシステム上のオブジェクトがチェック中にファイルとして表示され、その後操作中にシンボリックリンクとして表示される場合、攻撃者はチェックをバイパスして、宛先のオブジェクトディレクトリに任意のユーザー読み取り可能なファイルへのハードリンクを作成できます。この問題は、バージョン 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2、2.39.4 で修正されました。(CVE-2024-32021)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。