Podatności Dulwich

Przepełnienie bufora w funkcji apply_delta w implementacji C w pliku _pack.c w Dulwich przed wersją 0.9.9 umożliwia zdalnym atakującym wykonanie dowolnego kodu za pomocą spreparowanego pliku pakietu.

Funkcja build_index_from_tree w pliku index.py w Dulwich przed wersją 0.9.9 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez commit z ścieżką katalogu zaczynającą się od .git/, co nie jest prawidłowo obsługiwane podczas wypisywania drzewa roboczego.

Dulwich przed wersją 0.18.5, przy użyciu podprocesu SSH, pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez URL SSH z początkowym znakiem minus w nazwie hosta.

W bibliotece Dulwich w wersji do 1.1.0 w pliku contrib/paramiko_vendor.py brakuje weryfikacji klucza hosta SSH. Oznacza to, że podczas połączeń SSH nie jest sprawdzane, czy klucz publiczny serwera jest zaufany.

Dulwich w wersjach od 0.23.2 do 1.2.5 nie waliduje ścieżek submodułów podczas klonowania z rekurencją. Atakujący może umieścić złośliwy plik .gitmodules i drzewo gitlink ze ścieżką .git/hooks, co prowadzi do zapisu plików do katalogu .git/hooks ofiary. Wykonywalne pliki są następnie uruchamiane przy każdym wywołaniu haka, co umożliwia zdalne wykonanie kodu.

Podatność w bibliotece Dulwich (wersje 0.1.0 do 1.2.4) pozwala klientowi z dostępem do pusha na wysłanie spreparowanego, małego pakietu (ok. 174 bajtów), który deklaruje ogromny rozmiar w nagłówku delty. Podczas przetwarzania przez funkcję add_thin_pack/apply_delta dochodzi do alokacji setek MB pamięci, co może prowadzić do wyczerpania zasobów serwera.

Podatność w bibliotece Dulwich (wersje 0.24.0 do 1.2.4) pozwala na zapis pliku łatki poza zamierzonym katalogiem poprzez złośliwy temat commita. Funkcja format_patch używa tematu commita do utworzenia nazwy pliku, a brak sanityzacji znaków takich jak /, \, .. czy : umożliwia ścieżkę traversal.

Podatność w bibliotece Dulwich (wersje od 0.24.0 do 1.2.4) pozwala na zdalne wykonanie dowolnego kodu. Atakujący może umieścić złośliwą ścieżkę pliku w gałęzi GIT, która po scaleniu przez ofiarę jest wstawiana do polecenia scalającego przez symbol zastępczy %P i wykonywana z użyciem shell=True.

Podatność w bibliotece Dulwich (wersje 0.10.0 do 1.2.4) umożliwia zdalne wykonanie kodu poprzez dowolny zapis pliku podczas klonowania lub pobierania złośliwego repozytorium Git na systemie Windows. Problem wynika z nieprawidłowej walidacji nazw plików w elementach ścieżki, które mogą zawierać znaki interpretowane przez Windows jako strukturalna składnia ścieżki. Dodatkowo, ustawienia zabezpieczeń core.protectNTFS i core.protectHFS były ignorowane z powodu błędów konfiguracji.