分散型バージョン管理システム「Git」に複数の脆弱性が発見、最新版へのバージョンアップを推奨

　米GitHubは、分散型バージョン管理システムの「Git」が、脆弱性に対応した新バージョンをリリースしたことを受け、Git for Windowsを使用しているユーザー、またはマルチユーザー環境でGitを使用しているユーザーに対して、最新のGitへのバージョンアップを求めている。

　今回、問題となった脆弱性（CVE-2022-24765）では、マルチユーザー環境上で攻撃者によって.gitディレクトリが作成され、任意のコマンドを実行されてしまう可能性がある。

　新たにリリースされた「Git 2.35.2」では、.gitディレクトリの所有権が現在のユーザーから変更された際のディレクトリ探索における動作を修正することで、攻撃者によるコマンド実行を防いでいる。

　なお、直ちに「Git 2.35.2」へバージョンアップすることが困難な場合は、GIT_CEILING_DIRECTORIES環境変数にユーザープロファイルの親ディレクトリを定義することによって、リスクを軽減できる。

　作業ディレクトリが信頼し得るリポジトリ内にない場合は、マルチユーザー環境でのGitの利用は推奨されない。また、「Git 2.35.2」へバージョンアップするまでは、Git Bash、posh-gitといった内部でGitのコマンドを実行するツールの、マルチユーザー環境上での使用も避けるべきとしている。

　もう1つの脆弱性（CVE-2022-24767）は、Git for Windowsアンインストーラが実行される一時ディレクトリに、Git for Windowsアンインストーラ実行時に読み込まれる、悪意のあるファイルを配置可能になるというもので、「Git for Windows 2.35.2」へのバージョンアップによって回避できる。

　直ちにバージョンアップすることが難しい場合は、バージョンアップを行うまでアンインストーラを実行しないこと、TMP環境変数をSYSTEMユーザーのみが書き込み可能なディレクトリにオーバーライドすること、アンインストーラ実行前に一時ディレクトリ内の不明な.dllファイルを削除すること、管理者アカウントでアンインストーラを実行することで、リスクの軽減が図れる。

　なお、GitHubはgitコマンドを外部リポジトリで実行せず、Git for Windowsを使用していないため、これらの脆弱性の影響は受けない。