17.01.2023

BDU:2023-00599 (CVE-2022-41953) — уязвимость функции клонирования репозиториев графического инструмента Git GUI распределенной системы контроля версий Git

По данным БДУ ФСТЭК России, по состоянию на 10.10.2023.

Высокий — 8.6/10 Устранена

Уязвимость функции клонирования репозиториев графического инструмента Git GUI распределенной системы контроля версий Git for Windowst связана с использованием ненадёжного пути поиска при проверки орфографии клонированных репозиториев. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при клонировании ненадежных репозиториев

Кого касается и что делать

Уязвимое ПО: Microsoft Visual Studio 2022 (Microsoft) — версии 17.0, 17.2, 17.4; Git (Сообщество свободного программного обеспечения) — версии до 2.39.1; Microsoft Visual Studio 2017 (Microsoft) — версии от 15.0 до 15.8 включительно; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2023-00599 · CVE-2022-41953
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.6; CVSS 2.0 — 7.2)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H нужен локальный доступ, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость функции клонирования репозиториев графического инструмента Git GUI распределенной системы контроля версий Git for Windows, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 08.02.2023 · Обновлена ФСТЭК: 10.10.2023 · Выявлена: 17.01.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-426 — ненадежный путь поиска
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: подмена при взаимодействии

Уязвимое ПО

Microsoft Visual Studio 2022 (Microsoft) — версии 17.0, 17.2, 17.4 · прикладное ПО информационных систем
Git (Сообщество свободного программного обеспечения) — до 2.39.1 · прикладное ПО информационных систем
Microsoft Visual Studio 2017 (Microsoft) — от 15.0 до 15.8 включительно · прикладное ПО информационных систем
Microsoft Visual Studio 2019 (Microsoft) — от 16.0 до 16.10 включительно · прикладное ПО информационных систем