Korektivna izdanja distribuiranog sistema za kontrolu izvora Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3. objavljeni su .2.27.1, 2.28.1, 2.29.3 i 2021, koji su popravili ranjivost (CVE-21300-2.15) koja omogućava daljinsko izvršavanje koda prilikom kloniranja napadačevog spremišta pomoću komande „git clone“. Ovo utiče na sva izdanja Gita od verzije XNUMX.
Problem se manifestuje pri korištenju operacija odgođenog odjave, koje se koriste u nekim filterima čišćenja, kao što su oni konfigurisani u Git LFS-u. Iskorištavanje ranjivosti moguće je samo na sistemima datoteka koji nisu osjetljivi na velika i mala slova i podržavaju simboličke veze, kao što su NTFS, HFS+ i APFS (tj. na platformama Windows и macOS).
Kao sigurnosno rješenje, možete onemogućiti obradu simboličnih veza u git-u tako što ćete pokrenuti “git config —global core.symlinks false”, ili onemogućiti podršku filtera procesa pomoću naredbe “git config —show-scope —get-regexp 'filter\.. * \.proces'". Također se preporučuje izbjegavanje kloniranja neprovjerenih spremišta.
izvor: opennet.ru
