Nganyari Git kanggo ndandani kerentanan eksekusi kode remot

Rilis korektif saka sistem kontrol sumber sing disebarake Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, wis diterbitake .2.27.1, 2.28.1, 2.29.3 lan 2021, sing ndandani kerentanan (CVE-21300-2.15) sing ngidini eksekusi kode remot nalika kloning repositori penyerang nggunakake printah "git clone". Kabeh rilis Git wiwit versi XNUMX kena pengaruh.

Masalah kasebut dumadi nalika nggunakake operasi checkout sing ditundha, sing digunakake ing sawetara saringan pembersihan, kayata sing dikonfigurasi ing Git LFS. Kerentanan mung bisa dimanfaatake ing sistem file sing ora sensitif huruf cilik sing ndhukung pranala simbolis, kayata NTFS, HFS+ lan APFS (yaiku ing platform Windows lan macOS).

Minangka solusi keamanan, sampeyan bisa mateni pangolahan symlink ing git kanthi mbukak "git config —global core.symlinks false", utawa mateni dhukungan filter proses nggunakake printah "git config —show-scope —get-regexp 'filter\.. * \.proses'". Sampeyan uga dianjurake kanggo ngindhari kloning repositori sing ora diverifikasi.

Source: opennet.ru