ការអាប់ដេត Git ជាមួយនឹងភាពងាយរងគ្រោះមួយផ្សេងទៀតត្រូវបានជួសជុល

បោះពុម្ពផ្សាយ ការចេញផ្សាយការកែតម្រូវនៃប្រព័ន្ធគ្រប់គ្រងប្រភពចែកចាយ Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 និង 2.17.5 នៅក្នុង ដែលបានលុបចោល ភាពងាយរងគ្រោះ (CVE-2020-11008), រំលឹក បញ្ហាដែលត្រូវបានលុបចោលកាលពីសប្តាហ៍មុន។ ភាពងាយរងគ្រោះថ្មីនេះក៏ប៉ះពាល់ដល់អ្នកដោះស្រាយ "credential.helper" ហើយត្រូវបានកេងប្រវ័ញ្ចនៅពេលឆ្លងកាត់ URL ដែលមានទម្រង់ពិសេសដែលមានតួអក្សរបន្ទាត់ថ្មី ម៉ាស៊ីនទទេ ឬគ្រោងការណ៍សំណើដែលមិនបានបញ្ជាក់។ នៅពេលដំណើរការ URL បែបនេះ credential.helper ផ្ញើព័ត៌មានអំពីព័ត៌មានសម្ងាត់ដែលមិនត្រូវគ្នានឹងពិធីការដែលបានស្នើសុំ ឬម៉ាស៊ីនដែលកំពុងដំណើរការ។

មិនដូចបញ្ហាមុនទេ នៅពេលទាញយកភាពងាយរងគ្រោះថ្មី អ្នកវាយប្រហារមិនអាចគ្រប់គ្រងម៉ាស៊ីនដោយផ្ទាល់ ដែលព័ត៌មានសម្ងាត់របស់នរណាម្នាក់នឹងត្រូវបានផ្ទេរ។ តើព័ត៌មានសម្ងាត់អ្វីខ្លះត្រូវបានលេចធ្លាយអាស្រ័យលើរបៀបដែលប៉ារ៉ាម៉ែត្រ "ម៉ាស៊ីន" ដែលបាត់ត្រូវបានដោះស្រាយនៅក្នុង credential.helper ។ ស្នូលនៃបញ្ហាគឺថាវាលទទេនៅក្នុង URL ត្រូវបានបកស្រាយដោយអ្នកដោះស្រាយ credential.helper ជាច្រើនដែលជាការណែនាំដើម្បីអនុវត្តព័ត៌មានសម្ងាត់ណាមួយចំពោះសំណើបច្ចុប្បន្ន។ ដូច្នេះ credential.helper អាចផ្ញើព័ត៌មានសម្ងាត់ដែលរក្សាទុកសម្រាប់ម៉ាស៊ីនមេផ្សេងទៀតទៅកាន់ម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារដែលបានបញ្ជាក់នៅក្នុង URL ។

បញ្ហាកើតឡើងនៅពេលដំណើរការប្រតិបត្តិការដូចជា "git clone" និង "git fetch" ប៉ុន្តែមានគ្រោះថ្នាក់បំផុតនៅពេលដំណើរការម៉ូឌុលរង - នៅពេលដំណើរការ "git submodule update" URLs ដែលបានបញ្ជាក់នៅក្នុងឯកសារ .gitmodules ពីឃ្លាំងត្រូវបានដំណើរការដោយស្វ័យប្រវត្តិ។ ជាដំណោះស្រាយដើម្បីទប់ស្កាត់បញ្ហា បានណែនាំ កុំប្រើ credential.helper នៅពេលចូលប្រើឃ្លាំងសាធារណៈ ហើយកុំប្រើ "git clone" នៅក្នុងរបៀប "--recurse-submodules" ជាមួយនឹងឃ្លាំងដែលមិនបានត្រួតពិនិត្យ។

ផ្តល់ជូននៅក្នុងការចេញផ្សាយ Git ថ្មី។ ការកែតម្រូវ រារាំងការហៅ credential.helper សម្រាប់ URLs ដែលមាន តម្លៃដែលមិនអាចតំណាងបាន។ (ឧទាហរណ៍ នៅពេលបញ្ជាក់សញ្ញាបីជំនួសឱ្យពីរ - "http:///host" ឬដោយគ្មានគ្រោងការណ៍ពិធីការ - "http::ftp.example.com/") ។ បញ្ហានេះប៉ះពាល់ដល់ហាង (កន្លែងផ្ទុកព័ត៌មានសម្ងាត់ Git ដែលភ្ជាប់មកជាមួយ) ឃ្លាំងសម្ងាត់ (ឃ្លាំងសម្ងាត់ដែលភ្ជាប់មកជាមួយនៃព័ត៌មានសម្ងាត់ដែលបានបញ្ចូល) និងឧបករណ៍ដោះស្រាយ osxkeychain (ការផ្ទុក macOS) ។ អ្នកដោះស្រាយ Git Credential Manager (Windows repository) មិនត្រូវបានប៉ះពាល់ទេ។

អ្នកអាចតាមដានការចេញផ្សាយបច្ចុប្បន្នភាពកញ្ចប់នៅក្នុងការចែកចាយនៅលើទំព័រ ដេបៀន, គូប៊ុនទូ, អរ, SUSE/openSUSE, Fedora, សំខាន់បំផុត, ALT, FreeBSD.

ប្រភព: opennet.ru