Актуализация на Git с отстраняване на уязвимост, позволяваща отдалечено изпълнение на код

Публикувани са коригиращи издания на разпределената система за управление на изходния код Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 и 2.29.3, които отстраняват уязвимост (CVE-2021-21300), която позволява отдалечено изпълнение на код при клониране на репозитория на злонамеренец с команда «git clone». Уязвимостите засягат всички версии на Git, започващи от версия 2.15.

Проблемът се проявява при използване на отложени операции checkout, които се използват в някои филтри за почистване, например, настроените в Git LFS. Експлоатацията на уязвимостта е възможна само в файлови системи, които не различават регистъра на символите, но поддържат символни връзки, като NTFS, HFS+ и APFS (т.е. на платформи Windows и macOS).

В като обходен метод за защита можете да деактивирате обработката на символни връзки в Git, изпълнявайки «git config —global core.symlinks false», или да деактивирате поддръжката на филтрови процеси с команда «git config —show-scope —get-regexp ‘filter\..*\.process'». Също така, се препоръчва да се избягва клонирането на непроверени репозитории.

Източник: opennet.ru