CVE-2024-32021

Git versiya idarəetmə sistemidir. Versiyalar 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 və 2.39.4-dən əvvəlki versiyalarda, fayl sistemi vasitəsilə simvolik keçirmələri (symlinks) ehtiva edən lokal mənbə repozitoriyasını klonlayarkən, Git hədəf repozitoriyası ilə eyni fayl sistemində olan istifadəçinin oxuya bildiyi ixtiyari fayllara `objects/` kataloqunda sərt keçirmələr (hardlinks) yarada bilər. Fayl sistemi üzərindən lokal repozitoriyanın klonlanması, hədəf Git repozitoriyasının `objects/` kataloqunda eyni fayl sistemindəki istifadəçiyə məxsus ixtiyari fayllara sərt keçirmələrin yaradılmasına səbəb ola bilər. Repozitoriya fayl sistemi üzərindən klonlanarkən (`file://` protokolu və ya `--no-local` açıq şəkildə göstərilmədikdə), obyekt fayllarını kopyalamaq əvəzinə onlara sərt keçirmə yaratmağa cəhd etməyi nəzərdə tutan lokal klonlama optimallaşdırmaları istifadə olunur. Kodda CVE-2022-39253 üçün tətbiq edilən düzəliş zamanı əlavə edilmiş mənbə repozitoriyasındakı simvolik keçirmələrə qarşı yoxlamalar olsa da, sərt keçirmə əməliyyatı sonda simvolik keçirmələri izlədiyi üçün bu yoxlamalarda yarış şəraiti (race condition) yarana bilər. Əgər fayl sistemindəki obyekt yoxlama zamanı fayl kimi görünürsə və sonra əməliyyat zamanı simvolik keçirməyə çevrilirsə, bu, hücumçuya yoxlamanı yan keçməyə və təyinat obyektləri kataloqunda istifadəçinin oxuya bildiyi ixtiyari fayllara sərt keçirmələr yaratmağa imkan verəcəkdir. Problem 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 və 2.39.4 versiyalarında aradan qaldırılmışdır.