અન્ય નબળાઈ નિશ્ચિત સાથે Git અપડેટ

પ્રકાશિત વિતરિત સ્ત્રોત નિયંત્રણ સિસ્ટમ Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 અને 2.17.5 માં સુધારાત્મક પ્રકાશનો જે દૂર કરી નબળાઈ (CVE-2020-11008), યાદ અપાવે છે સમસ્યા, ગયા અઠવાડિયે નાબૂદ. નવી નબળાઈ "credential.helper" હેન્ડલર્સને પણ અસર કરે છે અને જ્યારે નવી લાઇન કેરેક્ટર, ખાલી હોસ્ટ અથવા અસ્પષ્ટ વિનંતિ સ્કીમ ધરાવતું ખાસ ફોર્મેટ કરેલ URL પસાર કરવામાં આવે ત્યારે તેનો ઉપયોગ કરવામાં આવે છે. આવા URL પર પ્રક્રિયા કરતી વખતે, credential.helper એ ઓળખપત્રો વિશેની માહિતી મોકલે છે જે વિનંતી કરેલ પ્રોટોકોલ અથવા હોસ્ટને ઍક્સેસ કરવામાં આવતા હોય તેની સાથે મેળ ખાતા નથી.

અગાઉની સમસ્યાથી વિપરીત, નવી નબળાઈનો ઉપયોગ કરતી વખતે, હુમલાખોર યજમાનને સીધું જ નિયંત્રિત કરી શકતું નથી કે જેમાંથી કોઈ અન્યના ઓળખપત્રો ટ્રાન્સફર કરવામાં આવશે. કયા ઓળખપત્રો લીક થયા છે તે credential.helper માં ગુમ થયેલ “હોસ્ટ” પેરામીટરને કેવી રીતે હેન્ડલ કરવામાં આવે છે તેના પર આધાર રાખે છે. સમસ્યાનું મુખ્ય કારણ એ છે કે URL માં ખાલી ફીલ્ડ્સને ઘણા credential.helper હેન્ડલર્સ દ્વારા વર્તમાન વિનંતી પર કોઈપણ ઓળખપત્ર લાગુ કરવા માટેની સૂચનાઓ તરીકે અર્થઘટન કરવામાં આવે છે. આમ, credential.helper બીજા સર્વર માટે સંગ્રહિત ઓળખપત્રો URL માં નિર્દિષ્ટ હુમલાખોરના સર્વરને મોકલી શકે છે.

"ગીટ ક્લોન" અને "ગીટ ફેચ" જેવી કામગીરી કરતી વખતે સમસ્યા થાય છે, પરંતુ સબમોડ્યુલ્સની પ્રક્રિયા કરતી વખતે તે સૌથી ખતરનાક છે - જ્યારે "ગીટ સબમોડ્યુલ અપડેટ" કરી રહ્યા હોય, ત્યારે રીપોઝીટરીમાંથી .ગીટમોડ્યુલ્સ ફાઇલમાં ઉલ્લેખિત URL આપમેળે પ્રક્રિયા થાય છે. સમસ્યાને અવરોધિત કરવાના ઉપાય તરીકે આગ્રહણીય છે સાર્વજનિક રિપોઝીટરીઝને ઍક્સેસ કરતી વખતે credential.helper નો ઉપયોગ કરશો નહીં અને અનચેક કરેલ રીપોઝીટરીઝ સાથે "--recurse-submodules" મોડમાં "git ક્લોન" નો ઉપયોગ કરશો નહીં.

નવા ગિટ રીલીઝમાં ઓફર કરવામાં આવે છે કરેક્શન URLs ધરાવતાં માટે credential.helper ને કૉલ કરવાનું અટકાવે છે અપ્રસ્તુત મૂલ્યો (ઉદાહરણ તરીકે, જ્યારે બેને બદલે ત્રણ સ્લેશનો ઉલ્લેખ કરો - “http:///host” અથવા પ્રોટોકોલ સ્કીમ વિના - “http::ftp.example.com/”). સમસ્યા સ્ટોર (બિલ્ટ-ઇન ગિટ ઓળખપત્ર સંગ્રહ), કેશ (દાખલ કરેલ ઓળખપત્રોની બિલ્ટ-ઇન કેશ), અને osxkeychain (macOS સ્ટોરેજ) હેન્ડલર્સને અસર કરે છે. ગિટ ઓળખપત્ર વ્યવસ્થાપક (વિન્ડોઝ રીપોઝીટરી) હેન્ડલર અસરગ્રસ્ત નથી.

તમે પેજ પરના વિતરણોમાં પેકેજ અપડેટના પ્રકાશનને ટ્રૅક કરી શકો છો ડેબિયન, ઉબુન્ટુ, આરએચએલ, SUSE/openSUSE, Fedora, આર્ક, ALT, ફ્રીબીએસડી.

સોર્સ: opennet.ru