Analisar e corrigir a vulnerabilidade do Git CVE-2024-32002

O Git é um sistema de controlo de versões distribuído, gratuito e de código aberto, concebido para ajudar os programadores de software a gerir bases de código de forma rápida e eficiente. Melhora a colaboração entre os membros da equipa de desenvolvimento, organizando e acompanhando as alterações aos ficheiros e diretórios de uma forma normalizada e estruturada. 

O Git é amplamente utilizado no desenvolvimento de software. Plataformas como o GitHub, o GitLab e o Bitbucket são construídas com base no Git para melhorar a colaboração entre os programadores devido às suas poderosas funcionalidades: 

• Registo de alterações rastreáveis em ficheiros de código, conhecidas como commits. 
• Reverter as edições de código para versões anteriores, quando necessário. 
• Combinar eficazmente alterações de diferentes ramos ou contribuidores. 
• Manter um registo do histórico de quem fez as alterações e as respectivas datas.

Um submódulo Git é um registo dentro de um repositório Git que faz referência a um commit específico num repositório externo. Quando um submódulo é adicionado a um repositório, é criado um novo ficheiro no diretório .gitmodules com metadados do mapeamento entre o URL do submódulo e o seu diretório local. Quando um repositório contém vários submódulos, o arquivo .gitmodules incluirá uma entrada para cada um. [3] 

Uma ligação simbólica, também designada por ligação simbólica ou ligação suave, é um ficheiro que aponta para outro ficheiro ou diretório (designado por "destino") especificando o seu caminho. Se uma ligação simbólica for eliminada, o seu destino não é afetado. [4] 

Uma ligação simbólica no Git é criada como um ficheiro com metadados que o fazem funcionar como uma referência ou um atalho para outro ficheiro. As ligações simbólicas podem ser utilizadas para criar várias referências a um ficheiro sem replicar o seu conteúdo.

Para obter uma compreensão mais profunda das vulnerabilidades de segurança, os especialistas em segurança efectuam frequentemente análises de correcções. Trata-se de uma técnica que ajuda a identificar funções vulneráveis e potenciais vectores de ataque. Os bolseiros OPSWAT examinaram as alterações efectuadas na versão corrigida para resolver a vulnerabilidade CVE-2024-32002 e descobriram que dois ficheiros foram actualizados para resolver esta vulnerabilidade.

Um dos arquivos atualizados é o arquivo submodule--helper.c, que inclui o código que lida com a clonagem de submódulos Git. O novo commit na versão corrigida incluiu os dois seguintes:  

Para além dos conhecimentos obtidos a partir da análise dos patches e da descrição da vulnerabilidade CVE-2024-32002, os bolseiros OPSWAT trabalharam na investigação do fluxo de trabalho das ligações simbólicas e dos submódulos no Git. Desvendaram a sequência de eventos que acontece quando um utilizador clona um repositório:

1. O Git começa por descarregar ficheiros e diretórios do repositório principal. 
2. Utiliza as definições especificadas nos ficheiros de ligações simbólicas para recriar as ligações simbólicas correspondentes no sistema de ficheiros local.  
3. Se a ligação simbólica apontar para um ficheiro existente, a ligação simbólica será funcional; caso contrário, a ligação simbólica permanece inoperante até que o destino seja restaurado.  
4. Se o repositório for clonado com a opção --recursive, o Git clona os submódulos (repositórios externos) e os coloca em caminhos de diretório conforme indicado no arquivo .gitmodules.  
5. Se um link simbólico fizer parte do caminho do submódulo (por exemplo, util/module/test, onde util é um link simbólico que aponta para outro diretório, como symlink_folder), o Git armazenará o conteúdo do submódulo no diretório real referenciado pelo link simbólico (por exemplo, symlink_folder/module/test), permitindo o acesso através do caminho original do link simbólico. 

Os membros OPSWAT examinaram ainda a criação de repositórios maliciosos com base nas actualizações feitas ao ficheirot/t7406-submodule-update.sh e dividiram este processo nos seguintes passos:

Quando um utilizador clona um repositório malicioso, criado no passo anterior, utilizando a opção --recursive, o script malicioso do gancho pós-checkout será ativado, permitindo ao atacante comprometer o dispositivo do utilizador. 

Esta execução remota de código ocorre porque o repositório principal detecta uma ligação simbólica denominada a que aponta para o diretório .git quando clonado. Com o modo recursivo ativado, os submódulos também são puxados para o repositório clonado. Este repositório contém uma pasta hooks, que contém o script de hook pós-checkout, e o seu diretório local está em A/modules/x.  

Como a aponta para o diretório.git e o sistema de arquivos não diferencia maiúsculas de minúsculas, A é interpretado como equivalente a a. O Git é induzido a escrever o script do gancho pós-checkout no diretório .git/modules/query/fast/hooks/. Se um script de gancho pós-checkout for encontrado na pasta . git/modules/{module_type}/{module_name}/hooks, será acionado quando o repositório principal for clonado com a opção --recursive. Como resultado, os atacantes podem comprometer com êxito o dispositivo do utilizador executando código remoto.

Com base nas conclusões anteriores, os bolseiros OPSWAT criaram um repositório principal e um gancho para simular a criação de um repositório malicioso:

Para neutralizar a ameaça, os utilizadores podem desinstalar o Git ou aplicar o patch de segurança mais recente. Em alternativa, uma solução como MetaDefender Endpoint pode notificar prontamente o utilizador e apresentar todos os CVEs conhecidos no ambiente através da sua interface intuitiva. MetaDefender Endpoint pode detetar e mitigar os CVEs mais recentes, aproveitando seus recursos com mais de 3 milhões de pontos de dados e mais de 30.000 CVEs associados com informações de gravidade. Ao implementar qualquer uma das contramedidas, o CVE será totalmente contido, eliminando o risco de um ataque cibernético devastador.

Está pronto para colocar MetaDefender Endpoint na linha da frente da sua estratégia de cibersegurança?