ຊ່ອງໂຫວ່ໃນ Git ສໍາລັບ Cygwin ທີ່ອະນຸຍາດໃຫ້ທ່ານຈັດລະບຽບການປະຕິບັດລະຫັດ

ຊ່ອງໂຫວ່ອັນຕະລາຍຮ້າຍແຮງ (CVE-2021-29468) ໄດ້ຖືກຄົ້ນພົບໃນ Git, ເຊິ່ງຈະປາກົດຂຶ້ນເມື່ອສ້າງສຳລັບສະພາບແວດລ້ອມ Cygwin (ຫ້ອງສະໝຸດສຳລັບການຈຳລອງລະຫັດທີ່ຢູ່ເບື້ອງຫຼັງ) ເທົ່ານັ້ນ. Linux API ໃນ Windows ແລະຊຸດໂປຣແກຣມ Linux ທົ່ວໄປສຳລັບ Windows). ຊ່ອງໂຫວ່ນີ້ຊ່ວຍໃຫ້ຜູ້ໂຈມຕີສາມາດປະຕິບັດລະຫັດທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີໄດ້ເມື່ອດຶງຂໍ້ມູນ ("git checkout") ຈາກບ່ອນເກັບຂໍ້ມູນທີ່ຖືກຄວບຄຸມໂດຍຜູ້ໂຈມຕີ. ບັນຫາດັ່ງກ່າວໄດ້ຮັບການແກ້ໄຂແລ້ວໃນແພັກເກດ git 2.31.1-2 ສຳລັບ Cygwin. ບັນຫາດັ່ງກ່າວຍັງບໍ່ທັນໄດ້ຮັບການແກ້ໄຂໃນໂຄງການ Git ຫຼັກ (ມັນບໍ່ໜ້າຈະເປັນໄປໄດ້ວ່າໃຜຈະສ້າງ git ສຳລັບ Cygwin ເອງ, ແທນທີ່ຈະໃຊ້ແພັກເກດທີ່ສ້າງໄວ້ກ່ອນ).

ຊ່ອງໂຫວ່ດັ່ງກ່າວແມ່ນເກີດຈາກສະພາບແວດລ້ອມ Cygwin ທີ່ຖືກປະຕິບັດຄືກັບລະບົບທີ່ຄ້າຍຄືກັບ Unix, ແທນທີ່ຈະເປັນ Windows, ເຊິ່ງບໍ່ມີຂໍ້ຈຳກັດກ່ຽວກັບການໃຊ້ຕົວອັກສອນ '\' ໃນເສັ້ນທາງ, ໃນຂະນະທີ່ຢູ່ໃນ Cygwin, ຄືກັບໃນ Windows, ສັນຍະລັກນີ້ສາມາດໃຊ້ເພື່ອແຍກໄດເລກະທໍລີຕ່າງໆ. ໃນທີ່ສຸດ, ໂດຍການສ້າງບ່ອນເກັບມ້ຽນທີ່ຖືກດັດແປງພິເສດທີ່ມີລິ້ງສັນຍາລັກ ແລະ ໄຟລ໌ທີ່ມີສັນຍາລັກ backslash, ມັນເປັນໄປໄດ້ທີ່ຈະຂຽນທັບໄຟລ໌ຕ່າງໆເມື່ອໂຫຼດບ່ອນເກັບມ້ຽນນີ້ໃນ Cygwin (ໃນ Git ສຳລັບ Windows ຊ່ອງໂຫວ່ທີ່ຄ້າຍຄືກັນນີ້ໄດ້ຖືກແກ້ໄຂໃນປີ 2019. ໂດຍການຂຽນທັບໄຟລ໌, ຜູ້ໂຈມຕີສາມາດ override ການເອີ້ນ hook ໃນ git ແລະປະຕິບັດລະຫັດໃດໆໃນລະບົບ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru