This is a public space:

For the draft, please restrict the page during creation and
remove this warning when page is published

Git Buffer Overflow dans plusieurs produits - CVE-2022-41903, CVE-2022-23521

Chers clients

Cet avis s'adresse à deux vulnérabilités critiques dans Git qui affectent plusieurs produits Atlassian.

Les sites Atlassian Cloud ne sont pas affectés.

CVE-2022-41903 - Heap of Overflow dans git archive, git log --format

Git Security Advisory - CVE-2022-41903 

git log a la possibilité d'afficher les commits dans n'importe quel format avec les spécifications --format. Cette fonctionnalité est également disponible pour git archive via l'attribut git export-subst.

Lors du traitement des opérateurs de remplissage pour le formatage (par exemple %<(, %<|(, %>(, >>(, ou %><(), un Overflow d'entier peut se produire. Ce Overflow peut être déclenché directement par un utilisateur qui exécute une commande appelant la machinerie de formatage des commit, ou indirectement par l'archive Git et le mécanisme export-subst.

Le Overflow d'entier provoque des écritures arbitraires dans le tas qui peuvent conduire à une exécution de code externe.

CVE-2022-23531 - gitattributes parsing integer overflow

Git Security Advisory - CVE-2022-23521

Les gitattributes sont un mécanisme qui permet de définir des attributs pour les chemins d'accès. Ces attributs peuvent être définis en ajoutant au référentiel un fichier .gitattributes qui contient une série de modèles de fichiers et les attributs à définir pour les chemins correspondant à ce modèle.

Lors de l'analyse syntaxique de gitattributes, il peut y avoir plusieurs Overflows d'entiers s'il y a un grand nombre de modèles de chemin, un grand nombre d'attributs pour un seul modèle, ou si les noms d'attributs déclarés sont très grands. Ces Overflows peuvent être déclenchés par un fichier ..gitattributes manipulé, qui peut faire partie de l'historique des commits.

Ce Overflow d'entier peut entraîner des lectures et des écritures arbitraires dans le tas, ce qui peut entraîner une exécution de code à distance.

Produits affectés

Git a publié des correctifs pour les deux vulnérabilités pour les versions >= v2.30.7

Bitbucket Server et Data Center

Versions concernées

Toutes les versions de Bitbucket Server et Bitbucket Data Center sont affectées.

Recommandations de correctifs

Bamboo Server and Data Center

Affected Versions

All versions of Bamboo are affected.

Patch Recommendations

Fisheye Server

Affected Versions

All versions of Fisheye are affected.

Patch Recommendations

Crucible Server

Affected Versions

All versions of Crucible are affected

Patch Recommendations

Sourcetree

Affected Versions

All versions of Sourcetree for Mac and Windows are vulnerable.

Fixed Versions

The Sourcetree team is actively working on updating embedded Git binaries to v2.39.1 for the next product release version.

• Mac: v4.2.2

• Windows: v3.4.12

Mitigation

While the Sourcetree team is working on updating the embedded Git binary, we recommend customers switch Sourcetree to use a patched system Git version.

Git Buffer Overflow in mehreren Produkten - CVE-2022-41903, CVE-2022-23521

Geschätzte Kundschaft

Dieses Advisory adressiert zwei kritische Sicherheitsschwachstellen in Git, die mehrere Atlassian-Produkte betreffen.

Atlassian Cloud sites sind nicht betroffen.

CVE-2022-41903 - Heap overflow in git archive, git log --format

Git Security Advisory - CVE-2022-41903 

git log hat die Möglichkeit, Commits in einem beliebigen Format mit den --format-Spezifikationen anzuzeigen. Diese Funktionalität ist auch für das git archive über das Git-Attribut export-subst verfügbar.

Bei der Verarbeitung der Auffüllungsoperatoren für die Formatierung (z. B. %<(, %<|(, %>(, >>(, or %><() kann ein Integer-Overflow auftreten. Dieser Overflow kann direkt durch einen Benutzer ausgelöst werden, der einen Befehl ausführt, der die Maschinerie zur Formatierung von commits aufruft, oder indirekt durch das Git-Archiv und den Mechanismus export-subst.

Der Integer-Overflow führt zu willkürlichen Heap-Schreibvorgängen, die zu einer externen Codeausführung führen können.

CVE-2022-23531 - gitattributes parsing integer overflow

Git Security Advisory - CVE-2022-23521

gitattributes sind ein Mechanismus, mit dem Attribute für Pfade definiert werden können. Diese Attribute können definiert werden, indem eine .gitattributes Datei zum Repository hinzugefügt wird, die eine Reihe von Dateimustern und die Attribute enthält, die für Pfade, die diesem Muster entsprechen, gesetzt werden sollen.

Beim Parsen von gitattributes kann es zu mehreren Integer-Overflows kommen, wenn es eine große Anzahl von Pfadmustern gibt, eine große Anzahl von Attributen für ein einzelnes Muster, oder wenn die deklarierten Attributnamen sehr groß sind. Diese Overflows können durch eine manipulierte ..gitattributes Datei ausgelöst werden, die Teil der Commit-Historie sein kann.

Dieser Integer-Overflow kann zu willkürlichen Heap-Lese- und Schreibvorgängen führen, was eine Codeausführung aus der Entfernung zur Folge haben kann.

Betroffene Produkte

Git hat Patches für beide Sicherheitslücken für Versionen >= v2.30.7 veröffentlicht

Bitbucket Server und Data Center

Betroffene Versionen

Alle Versionen von Bitbucket Server und Bitbucket Data Center sind betroffen.

Patch Empfehlungen

Bamboo Server und Data Center

Betroffene Versionen

Alle Versionen von Bamboo sind betroffen.

Patch Empfehlungen

Fisheye Server

Betroffene Versionen

Alle Versionen von Fisheye sind betroffen.

Patch Empfehlungen

Crucible Server

Betroffene Versionen

Alle Versionen von Crucible sind betroffen.

Patch Empfehlungen

Sourcetree

Betroffene Versionen

Alle Versionen von Sourcetree für Mac und Windows sind anfällig.

Gefixte Versionen

Das Sourcetree-Team arbeitet aktiv an der Aktualisierung der eingebetteten Git-Binärdateien auf v2.39.1 für die nächste Produktversion.

• Mac: v4.2.2

• Windows: v3.4.12

Maßnahmen zur Abhilfe, Mitigation

Während das Sourcetree-Team an der Aktualisierung der eingebetteten Git-Binärdatei arbeitet, empfehlen wir Kunden, Sourcetree auf eine gepatchte Git-Systemversion umzustellen.

Git Buffer Overflow in Multiple Products - CVE-2022-41903, CVE-2022-23521

Dear customer,

This advisory addresses a pair of critical security vulnerabilities in Git that affect multiple Atlassian products.

Atlassian Cloud sites are not affected.

CVE-2022-41903 - Heap overflow in git archive, git log --format

Git Security Advisory - CVE-2022-41903 

git log has the ability to display commits using an arbitrary format with its --format specifiers. This functionality is also exposed to git archive via the export-subst gitattribute.

When processing the padding operators for formatting (e.g., %<(, %<|(, %>(, >>(, or %><(), an integer overflow can occur. This overflow can be triggered directly by a user running a command that invokes the commit formatting machinery, or indirectly through git archive and the export-subst mechanism.

The integer overflow results in arbitrary heap writes, which may result in remote code execution.

CVE-2022-23531 - gitattributes parsing integer overflow

Git Security Advisory - CVE-2022-23521

gitattributes are a mechanism to allow defining attributes for paths. These attributes can be defined by adding a .gitattributes file to the repository, which contains a set of file patterns and the attributes that should be set for paths matching this pattern.

When parsing gitattributes, multiple integer overflows can occur when there is a huge number of path patterns, a huge number of attributes for a single pattern, or when the declared attribute names are huge. These overflows can be triggered via a crafted .gitattributes file that may be part of the commit history.

This integer overflow can result in arbitrary heap reads and writes, which may result in remote code execution.

Affected Products

Git has released patches for both vulnerabilities for versions >= v2.30.7

Bitbucket Server and Data Center

Affected Versions

All versions of Bitbucket Server and Bitbucket Data Center are affected.

Patch Recommendations

Bamboo Server and Data Center

Affected Versions

All versions of Bamboo are affected.

Patch Recommendations

Fisheye Server

Affected Versions

All versions of Fisheye are affected.

Patch Recommendations

Crucible Server

Affected Versions

All versions of Crucible are affected

Patch Recommendations

Sourcetree

Affected Versions

All versions of Sourcetree for Mac and Windows are vulnerable.

Fixed Versions

The Sourcetree team is actively working on updating embedded Git binaries to v2.39.1 for the next product release version.

• Mac: v4.2.2

• Windows: v3.4.12

Mitigation

While the Sourcetree team is working on updating the embedded Git binary, we recommend customers switch Sourcetree to use a patched system Git version.