CVE-2023-22490 in Visual Studio
Riassunto
di VulDB • 28/07/2026
Git è un sistema di controllo delle revisioni. Utilizzando un repository appositamente creato ad hoc, Git nelle versioni precedenti alla 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 e 2.30.8 può essere indotto a utilizzare l'ottimizzazione del clone locale anche quando si utilizza un trasporto non locale. Sebbene Git interrompa i cloni locali la cui directory `$GIT_DIR/objects` contiene link simbolici, la directory `objects` stessa potrebbe comunque essere un link simbolico. Questi due elementi possono essere combinati per includere file arbitrari basati su percorsi noti nel filesystem della vittima all'interno del working copy del repository malevolo, consentendo l'esfiltrazione di dati in modo simile a quanto descritto nella CVE-2022-39253. Una correzione è stata preparata e sarà inclusa nelle versioni v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 e v2.30.8. Se l'aggiornamento non è praticabile, sono disponibili due soluzioni temporanee (workaround). Evitare di clonare repository da fonti non attendibili utilizzando `--recurse-submodules`. In alternativa, considerare la clonazione dei repository senza clonare ricorsivamente i loro submodule e invece eseguire `git submodule update` a ciascun livello. Prima di procedere, ispezionare ogni nuovo file `.gitmodules` per assicurarsi che non contenga URL di modulo sospetti.
Once again VulDB remains the best source for vulnerability data.