CVE-2023-40590

GitPython, Git repozitoriyaları ilə qarşılıqlı əlaqə üçün istifadə olunan bir python kitabxanasıdır. Proqram həll edilərkən, Python/Windows əvvəlcə cari işçi kataloquna, daha sonra isə PATH mühit dəyişəninə baxır. GitPython standart olaraq `git` əmrindən istifadə edir; əgər istifadəçi GitPython-u daxilində `git.exe` və ya `git` icra faylı olan bir repozitoriyadan işlətsə, istifadəçinin `PATH`-indəki proqram əvəzinə həmin proqram işə salınacaqdır. Bu, daha çox Python-un Windows sistemləri ilə necə qarşılıqlı əlaqədə olması ilə bağlı problemdir, Linux və digər ƏS-lər bundan təsirlənmir. Lakin GitPython istifadəçiləri adətən onu repozitoriyanın CWD-dən işlədirlər. Hücumçu istifadəçini zərərli `git` icra faylı olan bir repozitoriyanı yükləməyə sövq edə bilər; əgər istifadəçi GitPython-u həmin kataloqdan işlətsə/import etsə, bu, hücumçuya hər hansı ixtiyari əmrləri icra etməyə imkan verir. Hazırda Windows istifadəçiləri üçün heç bir düzəliş mövcud deyil, lakin bir neçə yüngülləşdirmə üsulu vardır. 1: Windows-da git proqramı üçün mütləq yoldan istifadə etmək, məsələn, `C:\\Program Files\\Git\\cmd\\git.EXE` (standart git quraşdırma yolu). 2: İstifadəçilərdən Windows sistemlərində `GIT_PYTHON_GIT_EXECUTABLE` mühit dəyişənini təyin etmələrini tələb etmək. 3: Bu problemi sənədləşmədə ön plana çıxarmaq və istifadəçilərə GitPython-u heç vaxt etibarsız repozitoriyadan işlətməməyi və ya `GIT_PYTHON_GIT_EXECUTABLE` mühit dəyişənini mütləq yola təyin etməyi tövsiyə etmək. 4: İcra faylını yalnız `PATH` mühit dəyişəninə baxmaqla əllə həll etmək.