Kijavították a Git elosztott verziókezelő rendszer 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 és 2.29.3 verzióit, amelyek javítják a (CVE-2021-21300) sebezhetőséget, amely lehetővé teszi a távoli kódfuttatást egy rosszindulatú fél repositoriumának klónozása során a „git clone” parancs segítségével. Minden Git verzió érintett a 2.15-ös verziótól kezdődően.
A probléma a késleltetett checkout műveletek használatánál jelentkezik, amelyeket néhány tisztító szűrőben alkalmaznak, például a Git LFS-ben. A sebezhetőség kihasználása csak az érzéketlen fájlrendszerekben lehetséges, amelyek támogatják a szimbolikus hivatkozásokat, mint például az NTFS, HFS+ és APFS (tehát Windows és macOS platformokon).
Védelmi megoldásként a szimbolikus hivatkozások kezelése letiltható a git-ben a „git config —global core.symlinks false” parancs végrehajtásával, vagy a folyamat-szűrők támogatását letilthatjuk a „git config —show-scope —get-regexp ‘filter\..*\.process'” parancs segítségével. Ezen kívül ajánlott elkerülni a nem ellenőrzött repositoriumok klónozását.
Forrás: opennet.ru
