CVE-2023-40590

GitPython, Git depolarıyla etkileşim kurmak için kullanılan bir python kütüphanesidir. Bir program çözümlenirken, Python/Windows önce mevcut çalışma dizinine, ardından PATH ortam değişkenine bakar. GitPython varsayılan olarak `git` komutunu kullanır; eğer bir kullanıcı GitPython'ı içinde `git.exe` veya `git` yürütülebilir dosyası bulunan bir depodan çalıştırırsa, kullanıcının `PATH` değişkenindeki yerine bu program çalıştırılır. Bu durum daha çok Python'ın Windows sistemlerle nasıl etkileşime girdiğiyle ilgili bir sorundur; Linux ve diğer işletim sistemleri bundan etkilenmez. Ancak GitPython kullanan kişiler genellikle bunu bir deponun CWD'sinden çalıştırırlar. Bir saldırgan, kullanıcıyı kötü amaçlı bir `git` yürütülebilir dosyası içeren bir depoyu indirmeye ikna edebilir; kullanıcı GitPython'ı bu dizinden çalıştırdığında veya içe aktardığında, bu durum saldırganın herhangi bir rastgele komutu çalıştırmasına olanak tanır. Windows kullanıcıları için şu anda mevcut bir düzeltme yoktur ancak bazı hafifletme yöntemleri bulunmaktadır. 1: Windows üzerinde git programı için `C:\\Program Files\\Git\\cmd\\git.EXE` (varsayılan git kurulum yolu) gibi mutlak bir yol tanımlamak. 2: Kullanıcıların Windows sistemlerinde `GIT_PYTHON_GIT_EXECUTABLE` ortam değişkenini ayarlamasını zorunlu kılmak. 3: Bu sorunu dokümantasyonda belirgin hale getirmek ve kullanıcılara GitPython'ı asla güvenilmeyen bir depodan çalıştırmamalarını veya `GIT_PYTHON_GIT_EXECUTABLE` ortam değişkenini mutlak bir yola ayarlamalarını tavsiye etmek. 4: Yürütülebilir dosyayı yalnızca `PATH` ortam değişkenine bakarak manuel olarak çözümlemek.