Публикувани са коригиращи версии на разпределената система за управление на изходния код Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 и 2.29.3, които устраненяват уязвимост (CVE-2021-21300), позволяваща отдалечено изпълнение на код при клониране на репозиторий на злоупотребител с помощта на командата «git clone». Уязвимите версии са всички издания на Git от версия 2.15 насам.
Проблемът се проявява при използването на отложени операции checkout, които се прилагат в някои филтри за почистване, например, настройвани в Git LFS. Уязвимостта може да бъде експлоатирана само в файлови системи, които не разграничават регистъра на символите, но поддържат символични линкове, като NTFS, HFS+ и APFS (т.е. на платформи Windows и macOS).
Като заобиколно решение за защита можете да изключите обработката на символични линкове в git, изпълнявайки „git config —global core.symlinks false“, или да изключите поддръжката на процеси-филтри с командата „git config —show-scope —get-regexp ‘filter\..*\.process'“. Също така се препоръчва да се избягва клонирането на непроверени репозитории.
Източник: opennet.ru
