ការចេញផ្សាយ Git 2.35.2 ជាមួយនឹងការជួសជុលសុវត្ថិភាព

ការចេញផ្សាយការកែតម្រូវនៃប្រព័ន្ធគ្រប់គ្រងប្រភពចែកចាយ Git 2.35.2, 2.30.3, 2.31.2, 2.32.1, 2.33.2 និង 2.34.2 ត្រូវបានបោះពុម្ព ដែលក្នុងនោះភាពងាយរងគ្រោះចំនួនពីរត្រូវបានជួសជុល៖

• CVE-2022-24765 - ការវាយប្រហារមួយត្រូវបានកំណត់អត្តសញ្ញាណនៅលើប្រព័ន្ធអ្នកប្រើប្រាស់ច្រើនដែលមានថតចែករំលែកដែលអាចនាំទៅដល់ការប្រតិបត្តិនៃពាក្យបញ្ជាដែលកំណត់ដោយអ្នកប្រើប្រាស់ផ្សេងទៀត។ អ្នកវាយប្រហារអាចបង្កើតថត ".git" នៅកន្លែងដែលប្រសព្វជាមួយអ្នកប្រើប្រាស់ផ្សេងទៀត (ឧទាហរណ៍ នៅក្នុងថតដែលបានចែករំលែក ឬថតដែលមានឯកសារបណ្តោះអាសន្ន) ហើយដាក់ឯកសារកំណត់រចនាសម្ព័ន្ធ ".git/config" នៅក្នុងវាជាមួយនឹងការកំណត់រចនាសម្ព័ន្ធនៃអ្នកដោះស្រាយដែលមាន ត្រូវបានហៅនៅពេលដែលកិច្ចការជាក់លាក់ត្រូវបានប្រតិបត្តិ។ ពាក្យបញ្ជា git (ឧទាហរណ៍ អ្នកអាចប្រើប៉ារ៉ាម៉ែត្រ core.fsmonitor ដើម្បីរៀបចំការប្រតិបត្តិកូដ)។

  អ្នកដោះស្រាយដែលបានកំណត់ក្នុង ".git/config" នឹងត្រូវបានហៅជាអ្នកប្រើប្រាស់ផ្សេង ប្រសិនបើអ្នកប្រើនោះចូលប្រើ git ក្នុងថតខ្ពស់ជាង ".git" ថតរងដែលបង្កើតឡើងដោយអ្នកវាយប្រហារ។ រួមទាំងការហៅទូរសព្ទអាចត្រូវបានធ្វើឡើងដោយប្រយោល ឧទាហរណ៍ នៅពេលប្រើកម្មវិធីកែកូដដែលមានការគាំទ្រ git ដូចជា VS Code និង Atom ឬនៅពេលប្រើកម្មវិធីបន្ថែមដែលបង្ក "ស្ថានភាព git" (ឧទាហរណ៍ Git Bash ឬ posh-git) ។ នៅក្នុងកំណែ Git 2.35.2 ភាពងាយរងគ្រោះត្រូវបានរារាំងតាមរយៈការផ្លាស់ប្តូរចំពោះតក្កវិជ្ជានៃការស្វែងរក ".git" នៅក្នុងបញ្ជីមូលដ្ឋាន (ថត ".git" ឥឡូវនេះត្រូវបានមិនអើពើប្រសិនបើវាជារបស់អ្នកប្រើផ្សេងទៀត)។

• CVE-2022-24767 គឺជាភាពងាយរងគ្រោះជាក់លាក់របស់ប្រព័ន្ធប្រតិបត្តិការ Windows ដែលអនុញ្ញាតឱ្យកូដត្រូវបានប្រតិបត្តិដោយសិទ្ធិប្រព័ន្ធ នៅពេលដំណើរការប្រតិបត្តិការ Uninstall របស់ Git សម្រាប់ Windows ។ បញ្ហាគឺបណ្តាលមកពីកម្មវិធី Uninstaller ដែលដំណើរការនៅក្នុងថតបណ្តោះអាសន្នដែលអាចសរសេរដោយអ្នកប្រើប្រាស់ប្រព័ន្ធ។ ការវាយប្រហារត្រូវបានអនុវត្តដោយដាក់ DLLs ជំនួសនៅក្នុងថតបណ្ដោះអាសន្ន ដែលនឹងត្រូវបានផ្ទុកនៅពេលដែលកម្មវិធី Uninstaller ដំណើរការដោយសិទ្ធិប្រព័ន្ធ។

ប្រភព: opennet.ru