Git жаңыртуусу менен башка кемчилик оңдолду

Жарыяланган бөлүштүрүлгөн булакты башкаруу системасынын түзөтүүчү релиздери Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 жана 2.17.5, кайсынысы жок кылынды аялуу (CVE-2020-11008), эске салат маселе, өткөн аптада жоюлган. Жаңы кемчилик "credential.helper" иштеткичтерине да таасирин тийгизет жана жаңы сап белгисин, бош хостту же такталбаган суроо-талап схемасын камтыган атайын форматталган URL өтүп жатканда пайдаланылат. Мындай URL иштетилип жатканда, credential.helper суралган протоколго же кирилип жаткан хостко дал келбеген эсептик дайындар тууралуу маалыматты жөнөтөт.

Мурунку көйгөйдөн айырмаланып, жаңы кемчиликти пайдаланууда, чабуулчу башка бирөөнүн эсептик дайындары өткөрүлө турган хостту түз башкара албайт. Кайсы эсептик маалыматтар ачыкка чыгып жатканы credential.helperде жок болгон "хост" параметринин кандайча иштетилгенине жараша болот. Көйгөйдүн өзөгү – URL дарегиндеги бош талаалар көптөгөн credential.helper иштетүүчүлөрү тарабынан учурдагы суроо-талапка ар кандай эсептик дайындарды колдонуу боюнча нускамалар катары чечмеленет. Ошентип, credential.helper башка сервер үчүн сакталган эсептик дайындарды URL дарегинде көрсөтүлгөн чабуулчунун серверине жөнөтө алат.

Көйгөй "git clone" жана "git fetch" сыяктуу операцияларды аткарууда пайда болот, бирок субмодулдарды иштетүүдө эң кооптуу - "git submodule update" аткарылганда, репозиторийден .gitmodules файлында көрсөтүлгөн URL'дер автоматтык түрдө иштетилет. Көйгөйгө бөгөт коюу үчүн убактылуу чечим катары сунуш Коомдук репозиторийлерге кирүүдө credential.helperди колдонбоңуз жана текшерилбеген репозиторийлер менен "--recurse-submodules" режиминде "git clone" колдонбоңуз.

Gitтин жаңы чыгарылыштарында сунушталат оңдоо камтыган URL'дер үчүн credential.helper чалууга жол бербейт чагылдырылбаган баалуулуктар (мисалы, эки сызыктын ордуна үч сызык көрсөтүүдө - “http:///host” же протокол схемасы жок - “http::ftp.example.com/”). Маселе дүкөнгө (киргизилген Git эсептик дайындары сактагычы), кэшке (киргизилген эсептик дайындардын камтылган кэши) жана osxkeychain (macOS сактагычы) иштеткичтерине таасирин тийгизет. Git Credential Manager (Windows репозиторий) иштеткичтери таасир этпейт.

Сиз баракчалардагы бөлүштүрүүлөрдө топтом жаңыртууларынын чыгарылышын көзөмөлдөй аласыз Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, догоого окшоп кошулган жер, ALT, FreeBSD.

Source: opennet.ru