Git განახლება სხვა დაუცველობით დაფიქსირდა

გამოქვეყნდა განაწილებული წყაროს კონტროლის სისტემის მაკორექტირებელი გამოშვებები Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 და 2.17.5, in რომელიც აღმოფხვრა დაუცველობა (CVE-2020-11008), მოგვაგონებს პრობლემა, აღმოიფხვრა გასულ კვირას. ახალი დაუცველობა ასევე გავლენას ახდენს "credential.helper" დამმუშავებლებზე და გამოიყენება სპეციალურად ფორმატირებული URL-ის გადაცემისას, რომელიც შეიცავს ახალი ხაზის სიმბოლოს, ცარიელ ჰოსტს ან დაუზუსტებელ მოთხოვნის სქემას. ასეთი URL-ის დამუშავებისას, credential.helper აგზავნის ინფორმაციას რწმუნებათა სიგელების შესახებ, რომლებიც არ ემთხვევა მოთხოვნილ პროტოკოლს ან მასპინძელზე წვდომას.

წინა პრობლემისგან განსხვავებით, ახალი დაუცველობის გამოყენებისას, თავდამსხმელს არ შეუძლია პირდაპირ გააკონტროლოს ჰოსტი, საიდანაც გადაიცემა სხვისი რწმუნებათა სიგელები. რწმუნებათა სიგელების გაჟონვა დამოკიდებულია იმაზე, თუ როგორ მუშავდება დაკარგული „ჰოსტის“ პარამეტრი credential.helper-ში. პრობლემის არსი არის ის, რომ URL-ში ცარიელი ველები ინტერპრეტირებულია მრავალი credential.helper დამმუშავებლის მიერ, როგორც ინსტრუქციები ნებისმიერი სერთიფიკატის გამოყენების შესახებ მიმდინარე მოთხოვნაზე. ამრიგად, credential.helper-ს შეუძლია სხვა სერვერისთვის შენახული სერთიფიკატების გაგზავნა URL-ში მითითებულ თავდამსხმელის სერვერზე.

პრობლემა ჩნდება ოპერაციების შესრულებისას, როგორიცაა "git clone" და "git fetch", მაგრამ ყველაზე საშიშია ქვემოდულების დამუშავებისას - "git submodule update"-ს შესრულებისას, საცავიდან .gitmodules ფაილში მითითებული URL-ები ავტომატურად მუშავდება. როგორც გამოსავალი პრობლემის დაბლოკვისთვის რეკომენდირებულია არ გამოიყენოთ credential.helper საჯარო საცავებში წვდომისას და არ გამოიყენოთ „git clone“ „--recurse-submodules“ რეჟიმში, შეუმოწმებელი საცავებით.

შემოთავაზებულია Git-ის ახალ გამოშვებებში კორექტირება ხელს უშლის credential.helper-ის გამოძახებას URL-ებისთვის, რომლებიც შეიცავს წარმოუდგენელი ღირებულებები (მაგალითად, ორის ნაცვლად სამი დახრილის მითითებისას - "http:///host" ან პროტოკოლის სქემის გარეშე - "http::ftp.example.com/"). პრობლემა ეხება მაღაზიის (ჩაშენებული Git სერთიფიკატების საცავი), ქეშს (შეყვანილი რწმუნებათა სიგელების ჩაშენებული ქეში) და osxkeychain (macOS საცავი) დამმუშავებლებს. Git Credential Manager (Windows საცავი) დამმუშავებელი არ არის შეხებული.

თქვენ შეგიძლიათ თვალყური ადევნოთ პაკეტის განახლებების გამოშვებას დისტრიბუციებში გვერდებზე Debian, Ubuntu, rhel, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

წყარო: opennet.ru