Басқа осалдықпен Git жаңартуы түзетілді

Жарияланды Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 және 2.17.5 таратылған көзді басқару жүйесінің түзету шығарылымдары ол жойылды осалдық (CVE-2020-11008), еске түсіреді проблема, өткен аптада жойылды. Жаңа осалдық "credential.helper" өңдеушілеріне де әсер етеді және жаңа жол таңбасын, бос хостты немесе анықталмаған сұрау схемасын қамтитын арнайы пішімделген URL мекенжайын беру кезінде пайдаланылады. Мұндай URL мекенжайын өңдеу кезінде credential.helper сұралған протоколға немесе қатынасатын хостқа сәйкес келмейтін тіркелгі деректері туралы ақпаратты жібереді.

Алдыңғы мәселеден айырмашылығы, жаңа осалдықты пайдаланған кезде, шабуылдаушы басқа біреудің тіркелгі деректері тасымалданатын хостты тікелей басқара алмайды. Қандай тіркелгі деректерінің ағып кетуі credential.helper файлында жетіспейтін «хост» параметрінің қалай өңделетініне байланысты. Мәселенің негізгі мәні URL мекенжайындағы бос өрістерді көптеген credential.helper өңдеушілері ағымдағы сұрауға кез келген тіркелгі деректерін қолдану нұсқаулары ретінде түсіндіреді. Осылайша, credential.helper басқа сервер үшін сақталған тіркелгі деректерін URL мекенжайында көрсетілген шабуылдаушы серверіне жібере алады.

Мәселе «git clone» және «git fetch» ​​сияқты операцияларды орындау кезінде туындайды, бірақ ең қауіптісі ішкі модульдерді өңдеу кезінде – «git submodule update» орындаған кезде, репозиторийден .gitmodules файлында көрсетілген URL мекенжайлары автоматты түрде өңделеді. Мәселені блоктау үшін уақытша шешім ретінде ұсынылған Жалпы репозитарийлерге кіру кезінде credential.helper қолданбаңыз және тексерілмеген репозиторийлері бар "--recurse-submodules" режимінде "git clone" қолданбаңыз.

Жаңа Git шығарылымдарында ұсынылған түзету бар URL мекенжайлары үшін credential.helper шақыруға жол бермейді бейнеленбейтін құндылықтар (мысалы, екі қиғаш сызықтың орнына үш қиғаш сызықты көрсеткенде – “http:///host” немесе протокол схемасы жоқ – “http::ftp.example.com/”). Мәселе дүкенге (кіріктірілген Git тіркелгі деректерінің қоймасы), кэшке (енгізілген тіркелгі деректерінің кірістірілген кэшіне) және osxkeychain (macOS сақтау орны) өңдегіштеріне әсер етеді. Git Credential Manager (Windows репозиторийі) өңдегішіне әсер етпейді.

Сіз беттердегі дистрибутивтерде бума жаңартуларының шығарылымын бақылай аласыз Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Арка, ALT, FreeBSD.

Ақпарат көзі: opennet.ru