ፕሮሆስተር > ጦማር > የኢንተርኔት ዜና > Git ዝማኔ ከ8 ተጋላጭነቶች ጋር ተስተካክሏል።

Git ዝማኔ ከ8 ተጋላጭነቶች ጋር ተስተካክሏል።

የታተመ የተከፋፈለው ምንጭ ቁጥጥር ስርዓት ማስተካከያ Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 እና 2.14.62.24.1 XNUMX፣ አጥቂ በፋይል ሲስተም ውስጥ የዘፈቀደ መንገዶችን እንደገና እንዲጽፍ፣ የርቀት ኮድ አፈጻጸም እንዲያደራጅ ወይም ፋይሎችን በ".git/" ማውጫ ውስጥ እንዲጽፍ የሚያስችለውን ድክመቶች ያስተካክላል። አብዛኛዎቹ ችግሮች በሠራተኞች ተለይተው ይታወቃሉ
የማይክሮሶፍት ሴኪዩሪቲ ምላሽ ማዕከል፣ ከስምንቱ ተጋላጭነቶች ውስጥ አምስቱ ለዊንዶውስ መድረክ የተወሰኑ ናቸው።

  • CVE-2019-1348 - የዥረት ትእዛዝ "ባህሪ ወደ ውጪ መላክ-marks=ዱካ"ይህ ይፈቅዳል መለያዎችን ወደ የዘፈቀደ ማውጫዎች ይፃፉ ፣ ይህም በፋይል ስርዓቱ ውስጥ የዘፈቀደ ዱካዎችን ለመፃፍ ጥቅም ላይ ሊውል የሚችለው የ"git fast-import" ክወና ካልተመረጠ የግብዓት ውሂብ ጋር ነው።
  • CVE-2019-1350 - የትእዛዝ መስመር ነጋሪ እሴቶችን በትክክል ማምለጥ ሊመራ ይችላል ssh:// URLን በመጠቀም በተደጋጋሚ ክሎኒንግ ወቅት የአጥቂ ኮድን በርቀት ለማስፈጸም። በተለይም፣ ከክርክር ማምለጥ ወደ ኋላ ቀርነት (ለምሳሌ “ሙከራ \”) በስህተት ተይዟል። በዚህ አጋጣሚ ክርክርን ከድርብ ጥቅሶች ጋር በሚፈጥሩበት ጊዜ የመጨረሻው ጥቅስ አምልጧል, ይህም በትእዛዝ መስመር ላይ የአማራጮችዎን ምትክ ለማደራጀት አስችሎታል.
  • CVE-2019-1349 - በተወሰኑ ሁኔታዎች ውስጥ በዊንዶው አካባቢ ውስጥ ንዑስ ሞጁሎችን ("clone -recurse-submodules") በተደጋጋሚ ሲዘጉ. ሊሆን ይችላል ተመሳሳዩን git ዳይሬክተሩን ሁለቴ መጠቀም ያስጀምሩ (.git፣git~1፣git~2 እና git~N በNTFS ውስጥ እንደ አንድ ማውጫ ይታወቃሉ፣ነገር ግን ይህ ሁኔታ ለgit~1 ብቻ ነው የተፈተነው) ይህም ለማደራጀት ሊያገለግል ይችላል። ወደ ማውጫው መጻፍ ". git". የእሱን ኮድ አፈፃፀም ለማደራጀት አጥቂ ለምሳሌ በ .git/config ፋይል ውስጥ ባለው የድህረ-ቼክ ተቆጣጣሪ በኩል ስክሪፕቱን ሊተካ ይችላል።
  • CVE-2019-1351 - እንደ "C:\" ያሉ መንገዶችን ሲተረጉሙ በዊንዶውስ ዱካዎች ውስጥ የፊደል አንፃፊ ስሞች ተቆጣጣሪ የተነደፈው ባለአንድ ፊደል የላቲን መለያዎችን ለመተካት ብቻ ነው ፣ ግን በ"subst letter: path" የተመደቡ ምናባዊ ድራይቭዎችን የመፍጠር እድልን ከግምት ውስጥ አላስገባም። . እንደነዚህ ያሉት መንገዶች እንደ ፍፁም ሳይሆን እንደ አንጻራዊ መንገዶች ተወስደዋል ፣ ይህም ተንኮል-አዘል ማከማቻን በሚዘጉበት ጊዜ ፣ ​​ከስራ ማውጫው ዛፍ ውጭ በዘፈቀደ ማውጫ ውስጥ መዝገብ ለማደራጀት (ለምሳሌ ፣ በዲስክ ውስጥ ቁጥሮችን ወይም የዩኒኮድ ቁምፊዎችን ሲጠቀሙ) ። ስም - "1: \\ ምን \ hex.txt" ወይም "ä:\tschibät.sch").
  • CVE-2019-1352 - በዊንዶውስ ፕላትፎርም ላይ በሚሰሩበት ጊዜ በ NTFS ውስጥ አማራጭ የውሂብ ዥረቶችን መጠቀም, የ ": ዥረት-ስም: የዥረት-አይነት" ባህሪን ወደ የፋይል ስም በመጨመር, ተፈቅዷል ተንኮል-አዘል ማከማቻን በሚዘጉበት ጊዜ በ ".git/" ማውጫ ውስጥ ፋይሎችን እንደገና ይፃፉ። ለምሳሌ፣ በNTFS ውስጥ ያለው ".git::$INDEX_ALLOCATION" የሚለው ስም ከ".git" ማውጫ ጋር ልክ የሆነ አገናኝ ተደርጎ ተወስዷል።
  • CVE-2019-1353 - የስራ ማውጫውን ሲደርሱ Gitን በ WSL (Windows Subsystem for Linux) አካባቢ ሲጠቀሙ ጥቅም ላይ አልዋለም በኤንቲኤፍኤስ ውስጥ የስም ማጭበርበርን መከላከል (በFAT ስም ትርጉም በኩል ጥቃቶች ሊኖሩ ይችላሉ ፣ ለምሳሌ “.git” በ “git~1” ማውጫ በኩል ሊደረስበት ይችላል)።
  • CVE-2019-1354 -
    ዕድል በዩኒክስ/ሊኑክስ ተቀባይነት ያለው ነገር ግን በስም (ለምሳሌ "a\b") ፋይሎችን የያዙ ተንኮል አዘል ማከማቻዎችን ሲዘጋ በዊንዶው ፕላትፎርም ላይ ".git/" ማውጫ ላይ ይጽፋል። በዊንዶው ላይ ያለው መንገድ.

  • CVE-2019-1387 - በቂ ያልሆነ የንዑስ ሞዱል ስሞችን መፈተሽ የተነጣጠሩ ጥቃቶችን ለማደራጀት ጥቅም ላይ ሊውል ይችላል ፣ ይህም በተደጋጋሚ ከተዘጋ ፣ ሊቻል ይችላል ሊመራ ይችላል የአጥቂውን ኮድ ለመፈጸም. ጂት በሌላ ንዑስ ሞዱል ማውጫ ውስጥ ንዑስ ሞዱል ማውጫ እንዳይፈጠር አላገደውም፣ ይህም በአብዛኛዎቹ ሁኔታዎች ግራ መጋባትን ብቻ ያመጣል፣ ነገር ግን የሌላ ሞጁል ይዘት በተደጋጋሚ ክሎኒንግ ሂደት ውስጥ እንዳይፃፍ አላገደውም (ለምሳሌ፣ ንዑስ ሞዱል ማውጫዎች) “ጉማሬ” እና “ጉማሬ/መንጠቆ” እንደ “.git/modules/hippo/” እና “.git/modules/hippo/hooks/” ተቀምጠዋል፣ እና በጉማሬ ውስጥ ያለው የ hooks ማውጫ በተናጥል የተቀሰቀሱ መንጠቆዎችን ለማስተናገድ ሊያገለግል ይችላል።

የዊንዶውስ ተጠቃሚዎች የጊት ስሪታቸውን ወዲያውኑ እንዲያዘምኑ እና ያልተረጋገጡ ማከማቻዎችን እስከ ዝማኔው ድረስ ከመዝጋት እንዲቆጠቡ ይመከራሉ። የጊት ሥሪትን በአስቸኳይ ማዘመን ካልተቻለ የጥቃት ስጋትን ለመቀነስ “git clone —recurse-submodules” እና “git submodule update”ን ባልተመረጡ ማከማቻዎች እንዳያሄዱ ይመከራል እንጂ “git”ን ላለመጠቀም ይመከራል። ፈጣን አስመጪ” ቁጥጥር ካልተደረገባቸው የግቤት ዥረቶች ጋር፣ እና ማከማቻዎችን ወደ NTFS-ተኮር ክፍልፋዮች እንዳይዘጉ።

ለተጨማሪ ደህንነት፣ አዲስ የተለቀቁት በ.gitmodules ውስጥ የ"ንኡስ ሞዱል{name}.update=!command" ገንቢዎችን መጠቀምም ይከለክላሉ። ለስርጭቶች፣ በገጾቹ ላይ የጥቅል ዝመናዎችን መውጣቱን መከታተል ይችላሉ። ደቢያን,ኡቡንቱ, RHEL, SUSE/ክፍት SUSE, Fedora, ቅሥት, ALT, FreeBSD.

ምንጭ: opennet.ru

አስተያየት ያክሉ