Nûvekirina Git-ê bi 8 kêmasiyan ve hatî rast kirin

Weşandin serbestberdanên rastker ên pergala kontrola çavkaniya belavkirî Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 û 2.14.62.24.1. XNUMX, ku qelsiyên ku dihêlin êrîşkar rêyên keyfî di pergala pelan de ji nû ve binivîsîne, darvekirina kodê ji dûr ve organîze bike, an pelên di pelrêça ".git/" de binivîsîne rast kir. Pir pirsgirêkên ku ji hêla karmendan ve têne naskirin
Navenda Bersiva Ewlekariya Microsoft, pênc ji heşt qelsiyan ji bo platforma Windows-ê taybetî ne.

  • CVE-2019-1348 - Fermana streaming "feature export-marks=rê"Ev rê dide etîketan li pelrêçiyên keyfî binivîsin, ku dikarin werin bikar anîn da ku rêyên keyfî di pergala pelan de binivîsînin dema ku bi daneya têketina nekontrolkirî re operasyonek "git fast-import" pêk tînin.
  • CVE-2019-1350 - revîna nerast ji argumanên rêzika fermanê dikaribû rêberî bike ji bo pêkanîna dûr a koda êrîşkar di dema klonkirina vegerî de bi karanîna ssh: // URL. Bi taybetî, revîna argumanên ku bi paşpirtikekê diqedin (mînak, "test \") bi xeletî hate xebitandin. Di vê rewşê de, dema ku argûmanek bi tîpên ducar tê xêzkirin, gotina paşîn xilas bû, ku ev gengaz kir ku cîhgirtina vebijarkên xwe li ser rêza fermanê organîze bike.
  • CVE-2019-1349 - dema ku di hawîrdora Windows-ê de di bin hin mercan de bi rengek vegerî klonkirina binemodulan ("klone -recurse-submodules") ew dikare bibe bikaranîna heman pelrêça git du caran bişopîne (.git, git~1, git~2 û git~N di NTFS de wekî yek pelrêça têne nas kirin, lê ev rewş tenê ji bo git~1 hate ceribandin), ku dikare ji bo organîzekirinê were bikar anîn. nivîsandina pelrêça ". git". Ji bo organîzekirina pêkanîna koda xwe, wek nimûne, êrîşkarek dikare skrîpta xwe bi navgîniya hilgirê post-checkout-ê di pelê .git/config de biguhezîne.
  • CVE-2019-1351 - Rêvebirê navên ajokarên tîpan di riyên Windows-ê de dema ku riyên mîna "C:\" werdigerînin, tenê ji bo şûna nasnameyên latînî yên yek tîpî hatine sêwirandin, lê îhtîmala afirandina ajokarên virtual ku bi "bin-herfa: rê" ve hatine destnîşan kirin, li ber çavan negirt. . Rêyên weha ne wekî mutleq, lê wekî rêyên têkildar hatin hesibandin, ku ev gengaz kir, dema klonkirina depoyek xerab, tomarek di pelrêçeka keyfî de li derveyî dara pelrêça xebatê birêxistin bike (mînakî, dema ku di dîskê de hejmar an karakterên unicode bikar tînin. nav - "1:\what\the\ hex.txt" an "ä:\tschibät.sch").
  • CVE-2019-1352 - dema ku li ser platforma Windows-ê dixebitin, karanîna hêlên daneya alternatîf di NTFS de, ku bi lê zêdekirina taybetmendiya ": stream-name: stream-type" li navê pelê hatî afirandin, destûr kirin dema klonkirina depoyek xerab di pelrêça ".git/" de pelan binivîsîne. Mînakî, navê ".git::$INDEX_ALLOCATION" di NTFS de wekî girêdanek derbasdar a pelrêça ".git" hate hesibandin.
  • CVE-2019-1353 - dema ku Git di hawîrdorek WSL (Windows Subsystem for Linux) de dema ku bigihîje pelrêça xebatê bikar tîne nayê bikaranîn parastina li dijî manîpulekirina navan di NTFS de (êrîşên bi wergera navên FAT gengaz bûn, mînakî, ".git" dikare bi pelrêça "git~1" ve were gihîştin).
  • CVE-2019-1354 -
    fersend Di pelrêça ".git/" ya li ser platforma Windows-ê de dema klonkirina depoyên xerab ên ku pelên bi paşnavê navên wan hene (mînak, "a\b") dinivîse, ku li ser Unix/Linux-ê tê qebûlkirin, lê wekî beşek tê pejirandin. rê li ser Windows.

  • CVE-2019-1387 - Kontrolkirina têrker a navên submodulan dikare were bikar anîn ji bo organîzekirina êrişên armanckirî, yên ku ger bi paşvekişandinê werin klon kirin, dibe ku potansiyel dikaribû rêberî bike ji bo pêkanîna koda êrîşkar. Git rê neda afirandina pelrêça binmodûlê di nav pelrêça binmodûlek din de, ku di pir rewşan de tenê dê bibe sedema tevliheviyê, lê bi potansiyel rê neda ku naveroka modulek din di pêvajoya klonkirina paşverû de were nivîsandin (mînak, pelrêçên binmodulê "hippo" û "hippo/hooks" wekî " .git/modules/hippo/" û ".git/modules/hippo/hooks/" têne danîn, û pelrêça çengelan di hippo de dikare ji hev cuda were bikar anîn ji bo mêvandariya çengelên tehlkirî.

Ji bikarhênerên Windows re tê pêşniyar kirin ku tavilê guhertoya Git-a xwe nûve bikin, û heya nûvekirinê ji klonkirina depoyên nerastkirî dûr bisekinin. Ger hîn ne gengaz be ku bi lezûbez guhertoya Git nûve bike, wê hingê ji bo kêmkirina xetera êrîşê, tê pêşniyar kirin ku "git clone - recurse-submodules" û "git submodule update" bi depoyên neqedexekirî re neyê xebitandin, û "git" bikar neyên. bi lez-import" bi herikên têketinê yên nehatine kontrol kirin, û ne ku depoyan li ser dabeşên NTFS-ê klon bikin.

Ji bo ewlekariya zêde, weşanên nû di .gitmodules de karanîna avahîyên forma "submodule.{name}.update=!command" jî qedexe dikin. Ji bo belavkirinê, hûn dikarin berdana nûvekirina pakêtê li ser rûpelan bişopînin Debian,Ubuntu, RHEL, SUSE / openSUSE, Fedora, Taqa, ALT, FreeBSD.

Source: opennet.ru

Add a comment