🥇एक और भेद्यता को ठीक करने के साथ गिट अपडेट

प्रकाशित वितरित स्रोत नियंत्रण प्रणाली Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 और 2.17.5 की सुधारात्मक रिलीज़ जो समाप्त हो गया भेद्यता (CVE-2020-11008), याद दिलाता है समस्या, पिछले सप्ताह हटा दिया गया। नई भेद्यता "credential.helper" हैंडलर्स को भी प्रभावित करती है और एक न्यूलाइन कैरेक्टर, एक खाली होस्ट, या एक अनिर्दिष्ट अनुरोध योजना वाले विशेष रूप से स्वरूपित यूआरएल को पास करते समय इसका फायदा उठाया जाता है। ऐसे URL को संसाधित करते समय, credential.helper उन क्रेडेंशियल्स के बारे में जानकारी भेजता है जो अनुरोधित प्रोटोकॉल या एक्सेस किए जा रहे होस्ट से मेल नहीं खाते हैं।

पिछली समस्या के विपरीत, नई भेद्यता का फायदा उठाते समय, हमलावर सीधे उस होस्ट को नियंत्रित नहीं कर सकता जिससे किसी और की साख स्थानांतरित की जाएगी। कौन से क्रेडेंशियल लीक हुए हैं यह इस बात पर निर्भर करता है कि क्रेडेंशियल.हेल्पर में लापता "होस्ट" पैरामीटर को कैसे संभाला जाता है। समस्या का मूल यह है कि यूआरएल में खाली फ़ील्ड की व्याख्या कई क्रेडेंशियल.हेल्पर हैंडलर द्वारा वर्तमान अनुरोध पर किसी भी क्रेडेंशियल को लागू करने के निर्देश के रूप में की जाती है। इस प्रकार, क्रेडेंशियल.हेल्पर किसी अन्य सर्वर के लिए संग्रहीत क्रेडेंशियल्स को यूआरएल में निर्दिष्ट हमलावर के सर्वर पर भेज सकता है।

समस्या "गिट क्लोन" और "गिट फ़ेच" जैसे ऑपरेशन करते समय होती है, लेकिन सबमॉड्यूल को संसाधित करते समय सबसे खतरनाक होती है - "गिट सबमॉड्यूल अपडेट" करते समय, रिपॉजिटरी से .gitmodules फ़ाइल में निर्दिष्ट यूआरएल स्वचालित रूप से संसाधित होते हैं। समस्या को रोकने के उपाय के रूप में की सिफारिश की सार्वजनिक रिपॉजिटरी तक पहुँचते समय credential.helper का उपयोग न करें और अनियंत्रित रिपॉजिटरी के साथ "--recurse-submodules" मोड में "git क्लोन" का उपयोग न करें।

नई Git रिलीज़ में पेश किया गया भूल सुधार युक्त URL के लिए credential.helper को कॉल करने से रोकता है अप्रस्तुत मूल्य (उदाहरण के लिए, दो के बजाय तीन स्लैश निर्दिष्ट करते समय - "http:///host" या प्रोटोकॉल योजना के बिना - "http::ftp.example.com/")। समस्या स्टोर (अंतर्निहित गिट क्रेडेंशियल स्टोरेज), कैश (दर्ज किए गए क्रेडेंशियल्स का अंतर्निहित कैश), और ओएसएक्सकीचेन (मैकओएस स्टोरेज) हैंडलर को प्रभावित करती है। Git क्रेडेंशियल मैनेजर (विंडोज रिपॉजिटरी) हैंडलर प्रभावित नहीं है।

आप पृष्ठों पर वितरण में पैकेज अपडेट की रिलीज़ को ट्रैक कर सकते हैं डेबियन, Ubuntu, RHEL, एसयूएसई/ओपनएसयूएसई, फेडोरा, मेहराब, एएलटी, FreeBSD.

स्रोत: opennet.ru

एक अन्य भेद्यता के साथ Git अद्यतन को ठीक किया गया

एक टिप्पणी जोड़ें उत्तर रद्द