আরেকটি দুর্বলতা সংশোধন করে গিট আপডেট

প্রকাশিত হয়েছে বিতরণকৃত উৎস নিয়ন্ত্রণ ব্যবস্থার সংশোধনমূলক রিলিজ Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 এবং 2.17.5, in যা নির্মূল করেছে দুর্বলতা (জন্য CVE-2020-11008), স্মরণ করিয়ে দেয় সমস্যা, গত সপ্তাহে বাদ দেওয়া হয়েছে। নতুন দুর্বলতা "credential.helper" হ্যান্ডলারদেরও প্রভাবিত করে এবং একটি নতুন লাইন অক্ষর, একটি খালি হোস্ট, বা একটি অনির্দিষ্ট অনুরোধ স্কিম ধারণকারী একটি বিশেষভাবে বিন্যাস করা URL পাস করার সময় শোষণ করা হয়। এই ধরনের একটি URL প্রক্রিয়া করার সময়, credential.helper শংসাপত্র সম্পর্কে তথ্য পাঠায় যা অনুরোধ করা প্রোটোকলের সাথে মেলে না বা হোস্ট অ্যাক্সেস করা হচ্ছে।

আগের সমস্যা থেকে ভিন্ন, একটি নতুন দুর্বলতা কাজে লাগানোর সময়, আক্রমণকারী সরাসরি হোস্টকে নিয়ন্ত্রণ করতে পারে না যেখান থেকে অন্য কারো শংসাপত্র স্থানান্তর করা হবে। credential.helper-এ অনুপস্থিত "হোস্ট" প্যারামিটারটি কীভাবে পরিচালনা করা হয় তার উপর নির্ভর করে কোন প্রমাণপত্র ফাঁস করা হয়েছে৷ সমস্যার মূল হল যে URL-এর খালি ক্ষেত্রগুলিকে অনেক credential.helper হ্যান্ডলার দ্বারা ব্যাখ্যা করা হয় বর্তমান অনুরোধে যেকোনো শংসাপত্র প্রয়োগ করার নির্দেশনা হিসাবে। এইভাবে, credential.helper অন্য সার্ভারের জন্য সংরক্ষিত শংসাপত্রগুলি URL-এ নির্দিষ্ট আক্রমণকারীর সার্ভারে পাঠাতে পারে।

"গিট ক্লোন" এবং "গিট ফেচ" এর মতো ক্রিয়াকলাপগুলি সম্পাদন করার সময় সমস্যাটি ঘটে, তবে সাবমডিউলগুলি প্রক্রিয়া করার সময় এটি সবচেয়ে বিপজ্জনক - যখন "গিট সাবমডিউল আপডেট" সম্পাদন করা হয়, তখন সংগ্রহস্থল থেকে .gitmodules ফাইলে নির্দিষ্ট করা URLগুলি স্বয়ংক্রিয়ভাবে প্রক্রিয়া করা হয়৷ সমস্যাটি ব্লক করার জন্য একটি সমাধান হিসাবে সুপারিশ করা হয় পাবলিক রিপোজিটরি অ্যাক্সেস করার সময় credential.helper ব্যবহার করবেন না এবং "--recurse-submodules" মোডে অচেক করা রিপোজিটরির সাথে "git ক্লোন" ব্যবহার করবেন না।

নতুন গিট রিলিজে অফার করা হয়েছে সংশোধন URL ধারণকারী জন্য credential.helper কল করতে বাধা দেয় অপ্রতিরোধ্য মান (উদাহরণস্বরূপ, যখন দুটির পরিবর্তে তিনটি স্ল্যাশ নির্দিষ্ট করা হয় - “http:///host” বা প্রোটোকল স্কিম ছাড়াই - “http::ftp.example.com/”)। সমস্যাটি স্টোর (বিল্ট-ইন গিট শংসাপত্র সঞ্চয়স্থান), ক্যাশে (প্রবেশকৃত শংসাপত্রের অন্তর্নির্মিত ক্যাশে) এবং osxkeychain (macOS স্টোরেজ) হ্যান্ডলারকে প্রভাবিত করে। গিট ক্রেডেনশিয়াল ম্যানেজার (উইন্ডোজ রিপোজিটরি) হ্যান্ডলার প্রভাবিত হয় না।

আপনি পৃষ্ঠাগুলিতে বিতরণে প্যাকেজ আপডেটের প্রকাশ ট্র্যাক করতে পারেন ডেবিয়ান, উবুন্টু, RHEL, SUSE/openSUSE, ফেডোরা, খিলান, এবং ALT, FreeBSD 'র.

উত্স: opennet.ru