עדכון Git לתיקון פגיעות של ביצוע קוד מרחוק

מהדורות מתקנות של מערכת בקרת המקור המבוזר Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1 פורסמו .2.28.1, 2.29.3, 2021 ו-21300, אשר תיקנו פגיעות (CVE-2.15-XNUMX) המאפשרת ביצוע קוד מרחוק בעת שיבוט מאגר של תוקף באמצעות הפקודה "git clone". כל המהדורות של Git מאז גרסה XNUMX מושפעות.

הבעיה מתרחשת בעת שימוש בפעולות יציאה דחויות, המשמשות בכמה מסנני ניקוי, כגון אלו המוגדרים ב- Git LFS. ניתן לנצל את הפגיעות רק במערכות קבצים שאינן תלויות רישיות התומכות בקישורים סמליים, כגון NTFS, HFS+ ו-APFS (כלומר בפלטפורמות Windows ו-macOS).

כפתרון אבטחה, אתה יכול להשבית עיבוד סימלינקים ב-git על ידי הפעלת "git config —global core.symlinks false", או להשבית תמיכת מסנן תהליכים באמצעות הפקודה "git config —show-scope —get-regexp 'filter\.. * \.תהליך'". כמו כן, מומלץ להימנע משיבוט מאגרים לא מאומתים.

מקור: OpenNet.ru