В gitoxide — запись файлов за пределы рабочего дерева при распаковке репозитория

В наборе крейтов gitoxide (gix) обнаружена группа связанных уязвимостей, связанных с проверкой путей при распаковке рабочего дерева.

Произвольное выполнение кода

При распаковке gitoxide не проверяет, что пути указывают на расположение внутри рабочего дерева. Специально подделанный репозиторий может при клонировании записать новые файлы в любое место, доступное на запись приложению. Затронуты gix-worktree (исправлено в 0.33.0), gix-worktree-state и gix-fs (0.34.0).

Имена устройств Windows

Отдельная группа ошибок касается Windows: резервные имена устройств в путях и ссылках. Загрузка refs, совпадающих с такими именами, читает данные с устройств, а распаковка путей пишет произвольные данные на устройства. Исправлено в gix-ref, gix-index и gix-worktree — версии 0.44.0 и новее.

Оригинал

RUSTSEC-2024-0348, RUSTSEC-2024-0349, RUSTSEC-2024-0350, RUSTSEC-2024-0351, RUSTSEC-2024-0352, RUSTSEC-2024-0353