CVE-2023-22490 in Visual Studio
Résumé
par VulDB • 31/07/2026
Git est un système de contrôle de révision. En utilisant un dépôt spécialement conçu à cet effet, Git antérieur aux versions 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 et 2.30.8 peut être induit en erreur pour utiliser son optimisation de clonage local même lors de l'utilisation d'un transport non local. Bien que Git annule les clones locaux dont le répertoire source `$GIT_DIR/objects` contient des liens symboliques, le répertoire `objects` lui-même peut toujours être un lien symbolique. Ces deux éléments peuvent être combinés pour inclure des fichiers arbitraires basés sur des chemins connus du système de fichiers de la victime dans l'arborescence de travail du dépôt malveillant, permettant une exfiltration de données d'une manière similaire à celle décrite dans CVE-2022-39253. Une correction a été préparée et apparaîtra dans les versions v2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, v2.31.7 et 2.30.8. Si la mise à niveau est difficile à mettre en œuvre, deux contournements temporaires sont disponibles. Évitez de cloner des dépôts provenant de sources non fiables avec l'option `--recurse-submodules`. À la place, envisagez de cloner les dépôts sans cloner récursivement leurs sous-modules, et exécutez plutôt `git submodule update` à chaque niveau. Avant d'effectuer cette opération, inspectez chaque nouveau fichier `.gitmodules` pour vous assurer qu'il ne contient pas d'URLs de modules suspects.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.