Byly zveřejněny opravy pro distribuovaný systém správy verzí Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 a 2.29.3, které odstraňují zranitelnost (CVE-2021-21300), jež umožňuje vzdálené spuštění kódu při klonování repozitáře útočníka pomocí příkazu „git clone“. Zranitelné jsou všechny verze Gitu od verze 2.15.
Problém se projevuje při použití odložených operací checkout, které se používají v některých čistících filtrech, jako jsou ty, které jsou konfigurovány v Git LFS. Zranitelnost lze využít pouze ve souborových systémech, které nerozlišují velikost písmen, ale podporují symbolické odkazy, jako je NTFS, HFS+ a APFS (tj. na platformách Windows a macOS).
Jako obranou se doporučuje deaktivovat zpracování symbolických odkazů v Gitu příkazem „git config —global core.symlinks false“, nebo deaktivovat podporu procesních filtrů pomocí příkazu „git config —show-scope —get-regexp ‘filter\..*\.process'“. Dále se doporučuje vyhnout se klonování neověřených repozitářů.
Zdroj: opennet.ru
