በጂት ውስጥ ያለው ተጋላጭነት ወደ ፈሰሰ ምስክርነቶች ያመራል።

የታተመ የተከፋፈለው ምንጭ ቁጥጥር ስርዓት ማስተካከያ Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 እና 2.17.4, in ውስጥ ያስወገደው ተጋላጭነት (CVE-2020-5260) በተቆጣጣሪው ውስጥ "ምስክርነት.ረዳት", ይህም የጂት ደንበኛ አዲስ መስመር ቁምፊ የያዘ ልዩ የተቀረጸ ዩአርኤል በመጠቀም ወደ ማከማቻው ሲገባ ምስክርነቶችን ለተሳሳተ አስተናጋጅ እንዲላክ ያደርጋል። ተጋላጭነቱ ከሌላ አስተናጋጅ የሚመጡ የምስክር ወረቀቶች በአጥቂው ቁጥጥር ስር ወዳለው አገልጋይ እንዲላኩ ለማድረግ ሊያገለግል ይችላል።

እንደ “https://evil.com?%0ahost=github.com/” ያለ ዩአርኤል ሲገልጹ፣ ከአስተናጋጁ ክፉ.com ጋር ሲገናኙ የማረጋገጫ ተቆጣጣሪው ለgithub.com የተገለጹትን የማረጋገጫ መለኪያዎች ያልፋል። ችግሩ የሚከሰተው እንደ "git clone" ያሉ ስራዎችን ሲሰራ ሲሆን ዩአርኤሎችን ለንዑስ ሞዱሎች ማቀናበርን ጨምሮ (ለምሳሌ "git submodule update" በ .gitmodules ፋይል ውስጥ የተገለጹትን ዩአርኤሎች ከማጠራቀሚያው ውስጥ በራስ ሰር ይሰራል)። ተጋላጭነቱ በጣም አደገኛ የሚሆነው ገንቢው ዩአርኤሉን ሳያይ ማከማቻውን በሚዘጋበት ጊዜ ለምሳሌ ከንዑስ ሞዱሎች ጋር ሲሰራ ወይም አውቶማቲክ ድርጊቶችን በሚፈጽሙ ስርዓቶች ውስጥ ለምሳሌ በጥቅል ግንባታ ስክሪፕቶች ውስጥ ነው።

በአዲስ ስሪቶች ውስጥ ያሉ ተጋላጭነቶችን ለማገድ የተከለከለ ነው። በመረጃ ልውውጥ ፕሮቶኮል ውስጥ በሚተላለፉ ማናቸውም እሴቶች ውስጥ አዲስ መስመር ቁምፊን ማለፍ። ለስርጭቶች፣ በገጾቹ ላይ የጥቅል ዝመናዎችን መውጣቱን መከታተል ይችላሉ። ደቢያን, ኡቡንቱ, RHEL, SUSE/ክፍት SUSE, Fedora, ቅሥት, FreeBSD.

ችግሩን ለመግታት እንደ መፍትሄ ይመከራል ፡፡ የህዝብ ማከማቻዎችን ሲደርሱ credential.helperን አይጠቀሙ እና "git clone" በ"--recurse-submodules" ሁነታ ላይ ቁጥጥር ካልተደረገባቸው ማከማቻዎች ጋር አይጠቀሙ። የ credential.helper ተቆጣጣሪውን ሙሉ በሙሉ ለማሰናከል፣ ይህም የሚያደርገው ማቆየት እና የይለፍ ቃላትን ከ መሸጎጫ፣ የተጠበቀ ማከማቻዎች ወይም የይለፍ ቃል ያለው ፋይል፣ ትእዛዞቹን መጠቀም ትችላለህ፡-

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

ምንጭ: opennet.ru