CVE-2023-22490 in Visual Studio
Сводка
по VulDB • 26.07.2026
Git — это система контроля версий. Используя специально созданный репозиторий, Git до версий 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7 и 2.30.8 может быть введен в заблуждение для использования оптимизации локального клонирования даже при использовании нелокальных транспортных протоколов. Хотя Git прерывает выполнение операций локального клонирования, если каталог `$GIT_DIR/objects` источника содержит символические ссылки, сам каталог `objects` может все еще быть символической ссылкой. Эти два факта могут быть использованы совместно для включения произвольных файлов на основе известных путей в файловой системе жертвы в рабочую копию вредоносного репозитория, что позволяет осуществлять эксфильтрацию данных аналогичным образом с CVE-2022-39253. Исправление подготовлено и будет включено в версии v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7 и v2.30.8. Если обновление затруднительно, доступны два краткосрочных обходных решения. Избегайте клонирования репозиториев из ненадежных источников с помощью флага `--recurse-submodules`. Вместо этого рассмотрите возможность клонирования репозиториев без рекурсивного клонирования их подмодулей, а затем запускайте команду `git submodule update` на каждом уровне. Перед этим проверяйте каждый новый файл `.gitmodules`, чтобы убедиться, что он не содержит подозрительных URL-адресов модулей.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.