ອັບເດດ Git ດ້ວຍ 8 ຊ່ອງໂຫວ່ຖືກແກ້ໄຂ

ຈັດພີມມາ ການແກ້ໄຂການແກ້ໄຂຂອງລະບົບການຄວບຄຸມແຫຼ່ງແຈກຢາຍ Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 ແລະ 2.14.62.24.1 . XNUMX, ເຊິ່ງແກ້ໄຂຊ່ອງໂຫວ່ທີ່ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີຂຽນຄືນເສັ້ນທາງທີ່ຕົນເອງມັກໃນລະບົບໄຟລ໌, ຈັດລະບຽບການປະຕິບັດລະຫັດທາງໄກ ຫຼືຂຽນທັບໄຟລ໌ໃນໄດເລກະທໍລີ “.git/”. ບັນຫາສ່ວນໃຫຍ່ກໍານົດໂດຍພະນັກງານ
ສູນຕອບສະໜອງຄວາມປອດໄພຂອງ Microsoft, ຫ້າໃນແປດຊ່ອງໂຫວ່ແມ່ນສະເພາະແພລດຟອມ Windows.

• CVE-2019-1348 - ຄໍາສັ່ງ streaming “feature export-marks=path”ອະນຸຍາດ ຂຽນປ້າຍຊື່ໃສ່ໄດເລກະທໍລີ arbitrary, ເຊິ່ງສາມາດໃຊ້ເພື່ອຂຽນທັບເສັ້ນທາງ arbitrary ໃນລະບົບໄຟລ໌ໃນເວລາທີ່ດໍາເນີນການ "git fast-import" ດ້ວຍການປ້ອນຂໍ້ມູນທີ່ບໍ່ມີການກວດສອບ.
• CVE-2019-1350 - ການຫລົບຫນີທີ່ບໍ່ຖືກຕ້ອງຂອງການໂຕ້ຖຽງເສັ້ນຄໍາສັ່ງ ສາມາດນໍາພາ ເພື່ອປະຕິບັດການຫ່າງໄກສອກຫຼີກຂອງລະຫັດຜູ້ໂຈມຕີໃນລະຫວ່າງການ cloning recursive ໂດຍໃຊ້ ssh:// URL. ໂດຍສະເພາະ, ການຫລົບຫນີການໂຕ້ຖຽງທີ່ສິ້ນສຸດໃນ backslash (ຕົວຢ່າງ, "test \") ຖືກຈັດການບໍ່ຖືກຕ້ອງ. ໃນກໍລະນີນີ້, ເມື່ອກອບການໂຕ້ຖຽງກັບວົງຢືມຄູ່, ຄໍາເວົ້າສຸດທ້າຍໄດ້ຖືກຫລົບຫນີ, ເຊິ່ງເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຈັດແຈງການທົດແທນທາງເລືອກຂອງທ່ານໃນເສັ້ນຄໍາສັ່ງ.
• CVE-2019-1349 — ເມື່ອໂຄນ submodules ແບບຊ້ຳໆ (“clone —recurse-submodules”) ໃນສະພາບແວດລ້ອມ Windows ພາຍໃຕ້ເງື່ອນໄຂສະເພາະ ມັນອາດຈະເປັນ ກະຕຸ້ນການໃຊ້ໄດເລກະທໍລີ git ດຽວກັນສອງຄັ້ງ (.git, git~1, git~2 ແລະ git~N ຖືກຮັບຮູ້ເປັນໄດເລກະທໍລີດຽວໃນ NTFS, ແຕ່ສະຖານະການນີ້ຖືກທົດສອບພຽງແຕ່ສໍາລັບ git~1), ເຊິ່ງສາມາດຖືກນໍາໃຊ້ເພື່ອຈັດລະບຽບ. ຂຽນໃສ່ໄດເລກະທໍລີ ". git". ເພື່ອຈັດລະບຽບການປະຕິບັດລະຫັດຂອງລາວ, ຕົວຢ່າງ, ຜູ້ໂຈມຕີສາມາດປ່ຽນແທນສະຄິບຂອງລາວຜ່ານຕົວຈັດການຫຼັງເຊັກເອົາໃນໄຟລ໌ .git/config.
• CVE-2019-1351 — ຕົວຈັດການຊື່ຕົວອັກສອນໄດຣຟ໌ໃນເສັ້ນທາງ Windows ເມື່ອແປເສັ້ນທາງເຊັ່ນ "C:\", ມັນຖືກອອກແບບມາເພື່ອທົດແທນຕົວລະບຸພາສາລາແຕັງຕົວອັກສອນດຽວເທົ່ານັ້ນ, ແຕ່ບໍ່ໄດ້ຄຳນຶງເຖິງຄວາມເປັນໄປໄດ້ຂອງການສ້າງແຜ່ນດິດສະເໝືອນທີ່ກຳນົດຜ່ານ "subst letter:path". ເສັ້ນທາງດັ່ງກ່າວບໍ່ໄດ້ຖືກປະມວນຜົນເປັນເສັ້ນທາງທີ່ແນ່ນອນ, ແຕ່ເປັນເສັ້ນທາງທີ່ກ່ຽວຂ້ອງ, ເຊິ່ງອະນຸຍາດໃຫ້, ເມື່ອໂຄນບ່ອນເກັບມ້ຽນທີ່ເປັນອັນຕະລາຍ, ຂຽນໄປຫາໄດເລກະທໍລີທີ່ບໍ່ມີຕົວຕົນຢູ່ນອກຕົ້ນໄມ້ໄດເລກະທໍລີທີ່ເຮັດວຽກ (ຕົວຢ່າງ, ເມື່ອໃຊ້ຕົວເລກ ຫຼື ຕົວອັກສອນ Unicode ໃນຊື່ແຜ່ນດິດ - "1:\what\the\hex.txt" ຫຼື "ä:\tschibät.sch").
• CVE-2019-1352 - ເມື່ອເຮັດວຽກຢູ່ໃນເວທີ Windows ການໃຊ້ກະແສຂໍ້ມູນທາງເລືອກໃນ NTFS, ສ້າງຂຶ້ນໂດຍການເພີ່ມທຸງ ":stream-name:stream-type" ໃສ່ຊື່ໄຟລ໌, ອະນຸຍາດ ຂຽນທັບໄຟລ໌ໃນໄດເລກະທໍລີ ".git/" ໃນເວລາທີ່ cloning repository malicious. ຕົວຢ່າງ, ຊື່ ".git::$INDEX_ALLOCATION" ໃນ NTFS ຖືກປະຕິບັດເປັນລິ້ງທີ່ຖືກຕ້ອງໄປຫາໄດເຣັກທໍຣີ ".git".
• CVE-2019-1353 — ເມື່ອໃຊ້ Git ໃນສະພາບແວດລ້ອມ WSL (Windows ລະບົບຍ່ອຍ ສຳ ລັບ Linux) ເມື່ອເຂົ້າເຖິງໄດເລກະທໍລີການເຮັດວຽກ ບໍ່​ໄດ້​ນໍາ​ໃຊ້ ການປ້ອງກັນການຫມູນໃຊ້ຊື່ໃນ NTFS (ການໂຈມຕີໂດຍຜ່ານການແປຊື່ FAT ເປັນໄປໄດ້, ຕົວຢ່າງ, ".git" ສາມາດເຂົ້າເຖິງໄດ້ໂດຍຜ່ານ "git~1" directory).
• CVE-2019-1354 -
  ໂອກາດ ລາຍການໃນໄດເລກະທໍລີ ".git/" ໃນແພລດຟອມ Windows ເມື່ອໂຄນບ່ອນເກັບມ້ຽນທີ່ເປັນອັນຕະລາຍທີ່ມີໄຟລ໌ທີ່ມີ backslash ຢູ່ໃນຊື່ (ເຊັ່ນ "a\b"), ເຊິ່ງອະນຸຍາດໃຫ້ໃຊ້ໃນ Unix/Linuxແຕ່ຖືກຮັບຮູ້ວ່າເປັນສ່ວນໜຶ່ງຂອງເສັ້ນທາງໄປສູ່ Windows.
• CVE-2019-1387 — ການ​ກວດ​ສອບ​ບໍ່​ພຽງ​ພໍ​ຂອງ​ຊື່ submodule ສາ​ມາດ​ຖືກ​ນໍາ​ໃຊ້​ໃນ​ການ​ຈັດ​ຕັ້ງ​ການ​ໂຈມ​ຕີ​ເປົ້າ​ຫມາຍ​, ຊຶ່ງ​, ຖ້າ​ຫາກ​ວ່າ cloned recursively​, ອາດ​ຈະ​ເປັນ ສາມາດນໍາພາ ເພື່ອປະຕິບັດລະຫັດຂອງຜູ້ໂຈມຕີ. Git ບໍ່ໄດ້ປ້ອງກັນການສ້າງໄດເລກະທໍລີ submodule ພາຍໃນໄດເລກະທໍລີຂອງ submodule ອື່ນ, ເຊິ່ງໃນກໍລະນີຫຼາຍທີ່ສຸດພຽງແຕ່ເຮັດໃຫ້ເກີດຄວາມສັບສົນ, ແຕ່ບໍ່ໄດ້ປ້ອງກັນເນື້ອຫາຂອງໂມດູນອື່ນຈາກການຖືກຂຽນທັບໃນໄລຍະຂະບວນການ cloning recursive (ຕົວຢ່າງ, submodule directory. "hippo" ແລະ "hippo/hooks" ແມ່ນຖືກຈັດໃສ່ເປັນ ".git/modules/hippo/" ແລະ ".git/modules/hippo/hooks/", ແລະ hooks directory ໃນ hippo ສາມາດຖືກໃຊ້ແຍກຕ່າງຫາກເພື່ອໂຮດ hook triggered.

ຜູ້ໃຊ້ Windows ແນະນຳໃຫ້ອັບເກຣດ Git ເວີຊັນຂອງທ່ານຢ່າງຮີບດ່ວນ ແລະ ຫຼີກລ່ຽງການໂຄນບ່ອນເກັບມ້ຽນທີ່ບໍ່ໜ້າເຊື່ອຖືຈົນກວ່າການອັບເກຣດຈະສຳເລັດ. ຖ້າການອັບເດດ Git ຢ່າງຮີບດ່ວນຍັງບໍ່ມີ, ເພື່ອຫຼຸດຜ່ອນຄວາມສ່ຽງຂອງການໂຈມຕີ, ແນະນຳໃຫ້ຢ່າໃຊ້ "git clone --recurse-submodules" ແລະ "git submodule update" ກັບບ່ອນເກັບມ້ຽນທີ່ບໍ່ໜ້າເຊື່ອຖື, ບໍ່ໃຫ້ໃຊ້ "git fast-import" ກັບກະແສຂໍ້ມູນເຂົ້າທີ່ບໍ່ໜ້າເຊື່ອຖື, ແລະ ບໍ່ໃຫ້ໂຄນບ່ອນເກັບມ້ຽນໄປຍັງພາທິຊັນທີ່ອີງໃສ່ NTFS.

ເພື່ອຄວາມປອດໄພເພີ່ມເຕີມ, ການປ່ອຍໃຫມ່ຍັງຫ້າມການນໍາໃຊ້ໂຄງສ້າງຂອງແບບຟອມ "submodule.{name}.update=!command" ໃນ .gitmodules. ສໍາລັບການແຈກຢາຍ, ທ່ານສາມາດຕິດຕາມການປ່ອຍການປັບປຸງຊຸດໃນຫນ້າເວັບຕ່າງໆ Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, ທ້ອງຟ້າ, ALT, FreeBSD.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru