Der er udgivet korrigerende versioner af det distribuerede versionsstyringssystem Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 og 2.29.3, som løser en sårbarhed (CVE-2021-21300), der muliggør fjernudførelse af kode ved kloning af et ondsindet repository med kommandoen "git clone". Alle Git-versioner fra og med 2.15 er berørt af sårbarheden.
Problemet opstår ved brug af forsinkede checkout-operationer, som anvendes i visse rensefiltre, for eksempel dem der er konfigureret i Git LFS. Sårbarheden kan kun udnyttes på filsystemer, der ikke skelner mellem små og store bogstaver, men som understøtter symboliske links, såsom NTFS, HFS+ og APFS (dvs. på Windows- og macOS-platforme).
Som en midlertidig beskyttelsesmetode kan man deaktivere behandlingen af symboliske links i Git ved at køre "git config --global core.symlinks false", eller deaktivere understøttelse af filterprocesser ved hjælp af kommandoen "git config --show-scope --get-regexp 'filter\..*\.process'". Det anbefales også at undgå kloning af uvalidere repositories.
Kilde: opennet.ru
