CVE-2023-4759

Eclipse JGit <= 6.6.0 sürümünde Keyfi Dosya Üzerine Yazma Eclipse JGit'in <= 6.6.0.202305301015-r olan tüm sürümlerinde, özel olarak hazırlanmış bir git deposunda bulunan sembolik bir bağlantı; bu depo JGit ile büyük/küçük harf duyarsız bir dosya sistemine klonlandığında veya böyle bir deponun klonundan büyük/küçük harf duyarsız bir dosya sistemi üzerinde checkout işlemi gerçekleştirildiğinde, çalışma ağacının dışındaki konumlara dosya yazmak için kullanılabilir. Bu durum checkout (DirCacheCheckout), merge (WorkingTreeUpdater aracılığıyla ResolveMerger), pull (merge kullanan PullCommand) işlemlerinde ve bir yama uygulanırken (PatchApplier) meydana gelebilir. Bu durum, örneğin çalışma ağacının dışına yazılan dosyanın sonraki bir git komutunda yürütülen bir git filtresi olması durumunda uzaktan kod çalıştırma (RCE) için istismar edilebilir. Sorun yalnızca Windows ve macOS üzerindeki varsayılan dosya sistemleri gibi büyük/küçük harf duyarsız dosya sistemlerinde oluşur. Sorunun ortaya çıkması için klonlama veya checkout işlemini gerçekleştiren kullanıcının sembolik bağlantılar oluşturma yetkisine sahip olması ve git yapılandırmasında sembolik bağlantıların etkinleştirilmiş olması gerekir. Checkout işleminden önce git yapılandırma seçeneğinin core.symlinks = false olarak ayarlanması sorunu önler. Sorun, Maven Central https://repo1.maven.org/maven2/org/eclipse/jgit/ ve repo.eclipse.org https://repo.eclipse.org/content/repositories/jgit-releases/ üzerinden erişilebilen Eclipse JGit 6.6.1.202309021850-r ve 6.7.0.202309050840-r sürümlerinde düzeltilmiştir. 5.13.3.202401111512-r sürümünden itibaren 5.13.3 sürümü için bir backport mevcuttur. JGit yöneticileri, bu sorunu bulup bildirdiği için RyotaK'a teşekkür eder.