Vulnerabilidad en Git (CVE-2023-25815)

En Git para Windows, la versión de Git para Windows, no se envían mensajes localizados con el instalador. Como consecuencia, se espera que Git no localice ningún mensaje y omita la inicialización de gettext. Sin embargo, debido a un cambio en los paquetes MINGW, la inicialización implícita de la función `gettext()` ya no usa el prefijo de tiempo de ejecución sino que usa la ruta codificada `C:\mingw64\share\locale` para buscar mensajes localizados. Y dado que cualquier usuario autenticado tiene permiso para crear carpetas en `C:\` (y dado que `C:\mingw64` normalmente no existe), es posible que los usuarios con pocos privilegios coloquen mensajes falsos en esa ubicación donde `git .exe` los recogerá en la versión 2.40.1. Esta vulnerabilidad es relativamente difícil de explotar y requiere ingeniería social. Por ejemplo, un mensaje legítimo al final de un clon podría modificarse maliciosamente para pedirle al usuario que dirija su navegador web a un sitio web malicioso, y el usuario podría pensar que el mensaje proviene de Git y es legítimo. Sin embargo, requiere acceso de escritura local por parte del atacante, lo que hace que este vector de ataque sea menos probable. La versión 2.40.1 contiene un parche para este problema. Algunas soluciones están disponibles. No trabaje en una máquina Windows con cuentas compartidas o, alternativamente, cree una carpeta `C:\mingw64` y déjela vacía. Los usuarios que tienen derechos administrativos pueden eliminar el permiso para crear carpetas en `C:\`.