PT-2021-18236 · Cygwin · Cygwin Git

Ryotak

·

Publicado

2021-04-25

·

Atualizado

2021-06-07

·

CVE-2021-29468

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
**Nome do software vulnerável e versões afetadas:
Versões do Cygwin Git anteriores à 2.31.1-2
Descrição:
Um repositório especialmente criado, contendo links simbólicos e arquivos com caracteres de barra invertida no nome do arquivo, pode fazer com que o código recém-retirado seja executado durante a retirada de um repositório usando o Git no Cygwin. A vulnerabilidade permite que um invasor execute código quando um usuário retira um repositório de uma fonte não confiável. Como medida de mitigação, os usuários não devem clonar ou fazer pull de repositórios de fontes não confiáveis.
Recomendações:
Para versões anteriores à 2.31.1-2, atualize para a versão 2.31.1-2 do Cygwin Git para resolver o problema.
Como solução temporária, considere evitar o uso de git checkout de repositórios não confiáveis até que o problema seja resolvido.
Restrinja o acesso a repositórios não confiáveis para minimizar o risco de exploração.

Correção

RCE

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-29468
GHSA-RMP3-WQ55-F557
OESA-2021-1210

Produtos afetados

Cygwin Git