Git'i uuendus, mis kõrvaldab haavatavuse, mis võimaldab kauget koodi täitmist.

Välja on antud parandatud versioonid hajutatud allikapõhiste juhtimissüsteemide Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 ja 2.29.3, milles on kõrvaldatud haavatavus (CVE-2021-21300), mis võimaldab kauget koodi käivitamist, kui kloonitakse kurjategija repot käsu „git clone” abil. Kõik Git-i väljaanded alates versioonist 2.15 on haavatavad.

Probleem ilmneb seda kasutasud pingestatud checkout operatsioonide korral, mida rakendavad mõned puhastusfiltrid, näiteks need, mis on seadistatud Git LFS-is. Haavatavuse ärakasutamine on võimalik ainult failisüsteemides, mis ei erista suur- ja väikes tähti, kuid toetavad sümboolseid linke, nagu NTFS, HFS+ ja APFS (st Windowsi ja macOS-i platvormidel).

Kaitseks saab Git-is keelata sümboolsete linkide käsitlemise, käivitades „git config —global core.symlinks false”, või keelata protsessifiltrite toe käsuga „git config —show-scope —get-regexp ‘filter\..*\.process'”. Samuti on soovitatav vältida kontrollimata repode kloonimist.

Allikas: opennet.ru