Korektivna izdanja distribuiranog sistema za kontrolu izvora Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3. objavljeni su .2.27.1, 2.28.1, 2.29.3 i 2021, koji su popravili ranjivost (CVE-21300-2.15) koja omogućava daljinsko izvršavanje koda prilikom kloniranja napadačevog spremišta pomoću komande „git clone“. Ovo utiče na sva izdanja Gita od verzije XNUMX.
Problem se javlja kada se koriste operacije odgođenog preuzimanja, koje se koriste u nekim filterima za čišćenje, kao što su oni konfigurisani u Git LFS-u. Ranjivost se može iskoristiti samo na sistemima datoteka koji ne razlikuju velika i mala slova i podržavaju simboličke veze, kao što su NTFS, HFS+ i APFS (tj. na Windows i macOS platformama).
Kao sigurnosno rješenje, možete onemogućiti obradu simboličnih veza u git-u tako što ćete pokrenuti “git config —global core.symlinks false”, ili onemogućiti podršku filtera procesa pomoću naredbe “git config —show-scope —get-regexp 'filter\.. * \.proces'". Također se preporučuje izbjegavanje kloniranja neprovjerenih spremišta.
izvor: opennet.ru