Первоисточник сейчас сообщает о перегрузке; подробности известны только из пересказов Lobsters и Hacker News.

В Forgejo 16.0.4 перед инициализацией нового репозитория удаляют каталог .git, созданный при подстановке переменных в шаблоне.

Из-за дефекта подстановка переменных в шаблонном репозитории могла создать каталог .git, который Git использовал при инициализации. Через вредоносный шаблонный репозиторий можно было читать произвольные данные с хоста Forgejo и запускать на нём процессы.

Проверка утверждений:

  • Forgejo 16.0.4 содержит исправление критической ошибки безопасности. (подтверждено только публикацией-переносчиком: доказательство; «Forgejo 16.0.4 has a critical security bug fix (RCE - Remote Code Execution)»)
  • Forgejo 16.0.4 удаляет каталог .git, созданный при подстановке переменных, до инициализации нового репозитория. (подтверждено только публикацией-переносчиком: доказательство; «To address this issue, after variable expansion is completed, any existing .git folder is removed from the directory before the git repository is initialized.»)
  • Подстановка переменных в шаблонном репозитории могла создать каталог .git, который Git использовал при инициализации нового репозитория. (подтверждено только публикацией-переносчиком: доказательство; «During this process, variable template expansion could be misused in order to create a new .git folder, which git would adopt and incorporate during its initialization of a new git repository.»)
  • Через вредоносный шаблонный репозиторий можно было читать произвольные данные с хоста Forgejo и запускать на нём процессы. (подтверждено только публикацией-переносчиком: доказательство; «A malicious template repository could be used to read arbitrary data from the Forgejo host, and to execute arbitrary processes on the Forgejo host, as a remote code execution attack.»)
  • Первоисточник сейчас сообщает о перегрузке. (подтверждено самой публикацией: доказательство; «This git endpoint is seeing a high influx of requests for this repository, to preserve the availability of Codeberg your search request will not be processed.»)

Публикации:

Первоисточники:

оценка 82,3 из 100 · тип: инцидент