ಮತ್ತೊಂದು ದುರ್ಬಲತೆಯೊಂದಿಗೆ Git ನವೀಕರಣವನ್ನು ಸರಿಪಡಿಸಲಾಗಿದೆ

ಪ್ರಕಟಿಸಲಾಗಿದೆ ವಿತರಿಸಿದ ಮೂಲ ನಿಯಂತ್ರಣ ವ್ಯವಸ್ಥೆಯ ಸರಿಪಡಿಸುವ ಬಿಡುಗಡೆಗಳು Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ಮತ್ತು 2.17.5, ರಲ್ಲಿ ನಿರ್ಮೂಲನೆ ಮಾಡಿದ ದುರ್ಬಲತೆ (CVE-2020-11008), ನೆನಪಿಸುತ್ತದೆ ಸಮಸ್ಯೆ, ಕಳೆದ ವಾರ ಎಲಿಮಿನೇಟ್ ಮಾಡಲಾಗಿದೆ. ಹೊಸ ದುರ್ಬಲತೆಯು "credential.helper" ಹ್ಯಾಂಡ್ಲರ್‌ಗಳ ಮೇಲೂ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ ಮತ್ತು ಹೊಸ ಲೈನ್ ಅಕ್ಷರ, ಖಾಲಿ ಹೋಸ್ಟ್ ಅಥವಾ ಅನಿರ್ದಿಷ್ಟ ವಿನಂತಿಯನ್ನು ಹೊಂದಿರುವ ವಿಶೇಷವಾಗಿ ಫಾರ್ಮ್ಯಾಟ್ ಮಾಡಲಾದ URL ಅನ್ನು ರವಾನಿಸುವಾಗ ಬಳಸಿಕೊಳ್ಳಲಾಗುತ್ತದೆ. ಅಂತಹ URL ಅನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ, credential.helper ವಿನಂತಿಸಿದ ಪ್ರೋಟೋಕಾಲ್ ಅಥವಾ ಹೋಸ್ಟ್ ಅನ್ನು ಪ್ರವೇಶಿಸಲು ಹೊಂದಿಕೆಯಾಗದ ರುಜುವಾತುಗಳ ಬಗ್ಗೆ ಮಾಹಿತಿಯನ್ನು ಕಳುಹಿಸುತ್ತದೆ.

ಹಿಂದಿನ ಸಮಸ್ಯೆಗಿಂತ ಭಿನ್ನವಾಗಿ, ಹೊಸ ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುವಾಗ, ಆಕ್ರಮಣಕಾರರು ನೇರವಾಗಿ ಬೇರೊಬ್ಬರ ರುಜುವಾತುಗಳನ್ನು ವರ್ಗಾಯಿಸುವ ಹೋಸ್ಟ್ ಅನ್ನು ನಿಯಂತ್ರಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ. ಕಾಣೆಯಾದ "ಹೋಸ್ಟ್" ಪ್ಯಾರಾಮೀಟರ್ ಅನ್ನು credential.helper ನಲ್ಲಿ ಹೇಗೆ ನಿರ್ವಹಿಸಲಾಗುತ್ತದೆ ಎಂಬುದರ ಮೇಲೆ ಯಾವ ರುಜುವಾತುಗಳು ಸೋರಿಕೆಯಾಗುತ್ತವೆ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿರುತ್ತದೆ. ಸಮಸ್ಯೆಯ ಮುಖ್ಯ ಅಂಶವೆಂದರೆ URL ನಲ್ಲಿನ ಖಾಲಿ ಕ್ಷೇತ್ರಗಳನ್ನು ಪ್ರಸ್ತುತ ವಿನಂತಿಗೆ ಯಾವುದೇ ರುಜುವಾತುಗಳನ್ನು ಅನ್ವಯಿಸಲು ಸೂಚನೆಗಳಂತೆ ಅನೇಕ credential.helper ಹ್ಯಾಂಡ್ಲರ್‌ಗಳು ಅರ್ಥೈಸುತ್ತಾರೆ. ಹೀಗಾಗಿ, credential.helper ಮತ್ತೊಂದು ಸರ್ವರ್‌ಗಾಗಿ ಸಂಗ್ರಹಿಸಲಾದ ರುಜುವಾತುಗಳನ್ನು URL ನಲ್ಲಿ ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಆಕ್ರಮಣಕಾರರ ಸರ್ವರ್‌ಗೆ ಕಳುಹಿಸಬಹುದು.

"git ಕ್ಲೋನ್" ಮತ್ತು "ಜಿಟ್ ಫೆಚ್" ನಂತಹ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ನಿರ್ವಹಿಸುವಾಗ ಸಮಸ್ಯೆ ಉಂಟಾಗುತ್ತದೆ, ಆದರೆ ಸಬ್ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವಾಗ ಇದು ಅತ್ಯಂತ ಅಪಾಯಕಾರಿಯಾಗಿದೆ - "git ಸಬ್ ಮಾಡ್ಯೂಲ್ ಅಪ್‌ಡೇಟ್" ಅನ್ನು ನಿರ್ವಹಿಸುವಾಗ, ರೆಪೊಸಿಟರಿಯಿಂದ .gitmodules ಫೈಲ್‌ನಲ್ಲಿ ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ URL ಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲಾಗುತ್ತದೆ. ಸಮಸ್ಯೆಯನ್ನು ತಡೆಯಲು ಪರಿಹಾರವಾಗಿ ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ ಸಾರ್ವಜನಿಕ ರೆಪೊಸಿಟರಿಗಳನ್ನು ಪ್ರವೇಶಿಸುವಾಗ credential.helper ಅನ್ನು ಬಳಸಬೇಡಿ ಮತ್ತು ಪರಿಶೀಲಿಸದ ರೆಪೊಸಿಟರಿಗಳೊಂದಿಗೆ "--recurse-submodules" ಮೋಡ್‌ನಲ್ಲಿ "git ಕ್ಲೋನ್" ಅನ್ನು ಬಳಸಬೇಡಿ.

ಹೊಸ Git ಬಿಡುಗಡೆಗಳಲ್ಲಿ ನೀಡಲಾಗಿದೆ ತಿದ್ದುಪಡಿ ಒಳಗೊಂಡಿರುವ URL ಗಳಿಗೆ credential.helper ಕರೆ ಮಾಡುವುದನ್ನು ತಡೆಯುತ್ತದೆ ಪ್ರತಿನಿಧಿಸಲಾಗದ ಮೌಲ್ಯಗಳು (ಉದಾಹರಣೆಗೆ, ಎರಡರ ಬದಲಿಗೆ ಮೂರು ಸ್ಲಾಶ್‌ಗಳನ್ನು ಸೂಚಿಸುವಾಗ - "http:///host" ಅಥವಾ ಪ್ರೋಟೋಕಾಲ್ ಸ್ಕೀಮ್ ಇಲ್ಲದೆ - "http::ftp.example.com/"). ಸಮಸ್ಯೆಯು ಸ್ಟೋರ್ (ಅಂತರ್ನಿರ್ಮಿತ Git ರುಜುವಾತು ಸಂಗ್ರಹಣೆ), ಸಂಗ್ರಹ (ನಮೂದಿಸಿದ ರುಜುವಾತುಗಳ ಅಂತರ್ನಿರ್ಮಿತ ಸಂಗ್ರಹ) ಮತ್ತು osxkeychain (macOS ಸಂಗ್ರಹಣೆ) ಹ್ಯಾಂಡ್ಲರ್‌ಗಳ ಮೇಲೆ ಪರಿಣಾಮ ಬೀರುತ್ತದೆ. Git ರುಜುವಾತು ನಿರ್ವಾಹಕ (Windows ರೆಪೊಸಿಟರಿ) ಹ್ಯಾಂಡ್ಲರ್ ಪರಿಣಾಮ ಬೀರುವುದಿಲ್ಲ.

ಪುಟಗಳಲ್ಲಿನ ವಿತರಣೆಗಳಲ್ಲಿ ಪ್ಯಾಕೇಜ್ ನವೀಕರಣಗಳ ಬಿಡುಗಡೆಯನ್ನು ನೀವು ಟ್ರ್ಯಾಕ್ ಮಾಡಬಹುದು ಡೆಬಿಯನ್, ಉಬುಂಟು, rhel, SUSE/openSUSE, ಫೆಡೋರಾ, ಆರ್ಚ್, ALT, ಫ್ರೀಬಿಎಸ್ಡಿ.

ಮೂಲ: opennet.ru