Se han publicado versiones corregidas del sistema de control de versiones distribuido Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 y 2.29.3, en las que se ha solucionado una vulnerabilidad (CVE-2021-21300) que permite la ejecución remota de código al clonar un repositorio de un atacante mediante el comando "git clone". Todas las versiones de Git a partir de la versión 2.15 son vulnerables.
El problema se presenta al utilizar operaciones de checkout diferidas, que se aplican en algunos filtros de limpieza, como los configurables en Git LFS. La explotación de la vulnerabilidad solo es posible en sistemas de archivos que no distinguen entre mayúsculas y minúsculas, pero que soportan enlaces simbólicos, como NTFS, HFS+ y APFS (es decir, en plataformas Windows y macOS).
Como solución de protección, se puede desactivar el manejo de enlaces simbólicos en git ejecutando "git config --global core.symlinks false", o desactivar el soporte para procesos-filtro mediante el comando "git config --show-scope --get-regexp 'filter\..*\.process'". También se recomienda evitar clonar repositorios no verificados.
Fuente: opennet.ru
