മറ്റൊരു കേടുപാടുകൾ പരിഹരിച്ച Git അപ്‌ഡേറ്റ്

പ്രസിദ്ധീകരിച്ചു വിതരണം ചെയ്ത സോഴ്സ് കൺട്രോൾ സിസ്റ്റത്തിൻ്റെ തിരുത്തൽ റിലീസുകൾ ഇല്ലാതാക്കിയത് ദുർബലത (CVE-2020-11008), അനുസ്മരിപ്പിക്കുന്നു പ്രശ്നം, കഴിഞ്ഞയാഴ്ച ഒഴിവാക്കി. പുതിയ അപകടസാധ്യത "credential.helper" ഹാൻഡ്‌ലർമാരെയും ബാധിക്കുന്നു, കൂടാതെ ഒരു പുതിയ ലൈൻ പ്രതീകമോ ശൂന്യമായ ഹോസ്റ്റോ വ്യക്തമാക്കാത്ത അഭ്യർത്ഥന സ്കീമോ അടങ്ങിയ പ്രത്യേകം ഫോർമാറ്റ് ചെയ്‌ത URL കടന്നുപോകുമ്പോൾ അത് ചൂഷണം ചെയ്യപ്പെടുന്നു. അത്തരം ഒരു URL പ്രോസസ്സ് ചെയ്യുമ്പോൾ, credential.helper അഭ്യർത്ഥിച്ച പ്രോട്ടോക്കോളുമായി പൊരുത്തപ്പെടാത്ത ക്രെഡൻഷ്യലുകളെ കുറിച്ചോ ആക്‌സസ് ചെയ്യുന്ന ഹോസ്റ്റിനെ കുറിച്ചോ വിവരങ്ങൾ അയയ്ക്കുന്നു.

മുമ്പത്തെ പ്രശ്‌നത്തിൽ നിന്ന് വ്യത്യസ്തമായി, ഒരു പുതിയ അപകടസാധ്യത ഉപയോഗിക്കുമ്പോൾ, ആക്രമണകാരിക്ക് മറ്റൊരാളുടെ യോഗ്യതാപത്രങ്ങൾ കൈമാറുന്ന ഹോസ്റ്റിനെ നേരിട്ട് നിയന്ത്രിക്കാൻ കഴിയില്ല. ക്രെഡൻഷ്യൽ.ഹെൽപ്പറിൽ കാണാതായ "ഹോസ്റ്റ്" പാരാമീറ്റർ എങ്ങനെ കൈകാര്യം ചെയ്യുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കും ഏത് ക്രെഡൻഷ്യലുകളാണ് ചോർന്നത്. നിലവിലെ അഭ്യർത്ഥനയിൽ ഏതെങ്കിലും ക്രെഡൻഷ്യലുകൾ പ്രയോഗിക്കുന്നതിനുള്ള നിർദ്ദേശങ്ങളായി URL-ലെ ശൂന്യമായ ഫീൽഡുകൾ നിരവധി credential.helper ഹാൻഡ്‌ലർമാർ വ്യാഖ്യാനിക്കുന്നു എന്നതാണ് പ്രശ്നത്തിൻ്റെ കാതൽ. അങ്ങനെ, credential.helper-ന് മറ്റൊരു സെർവറിനായി സംഭരിച്ചിരിക്കുന്ന ക്രെഡൻഷ്യലുകൾ URL-ൽ വ്യക്തമാക്കിയിട്ടുള്ള ആക്രമണകാരിയുടെ സെർവറിലേക്ക് അയയ്ക്കാൻ കഴിയും.

"git clone", "git fetch" എന്നിവ പോലുള്ള പ്രവർത്തനങ്ങൾ നടത്തുമ്പോൾ പ്രശ്നം സംഭവിക്കുന്നു, എന്നാൽ സബ്‌മോഡ്യൂളുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഏറ്റവും അപകടകരമാണ് - "git submodule അപ്‌ഡേറ്റ്" നടത്തുമ്പോൾ, റിപ്പോസിറ്ററിയിൽ നിന്നുള്ള .gitmodules ഫയലിൽ വ്യക്തമാക്കിയ URL-കൾ സ്വയമേവ പ്രോസസ്സ് ചെയ്യപ്പെടും. പ്രശ്നം തടയുന്നതിനുള്ള ഒരു പരിഹാരമായി ശുപാർശചെയ്യുന്നു പബ്ലിക് റിപ്പോസിറ്ററികൾ ആക്സസ് ചെയ്യുമ്പോൾ credential.helper ഉപയോഗിക്കരുത് കൂടാതെ ചെക്ക് ചെയ്യാത്ത റിപ്പോസിറ്ററികളുള്ള "--recurse-submodules" മോഡിൽ "git clone" ഉപയോഗിക്കരുത്.

പുതിയ Git റിലീസുകളിൽ ഓഫർ ചെയ്യുന്നു തിരുത്തൽ അടങ്ങിയിരിക്കുന്ന URL-കൾക്കായി credential.helper വിളിക്കുന്നത് തടയുന്നു പ്രതിനിധീകരിക്കാനാവാത്ത മൂല്യങ്ങൾ (ഉദാഹരണത്തിന്, രണ്ടിന് പകരം മൂന്ന് സ്ലാഷുകൾ വ്യക്തമാക്കുമ്പോൾ - "http:///host" അല്ലെങ്കിൽ ഒരു പ്രോട്ടോക്കോൾ സ്കീം ഇല്ലാതെ - "http::ftp.example.com/"). ഈ പ്രശ്നം സ്റ്റോർ (ബിൽറ്റ്-ഇൻ Git ക്രെഡൻഷ്യൽ സ്റ്റോറേജ്), കാഷെ (നൽകിയ ക്രെഡൻഷ്യലുകളുടെ ബിൽറ്റ്-ഇൻ കാഷെ), osxkeychain (macOS സ്റ്റോറേജ്) ഹാൻഡ്‌ലറുകൾ എന്നിവയെ ബാധിക്കുന്നു. Git ക്രെഡൻഷ്യൽ മാനേജർ (Windows repository) ഹാൻഡ്‌ലറിനെ ബാധിക്കില്ല.

പേജുകളിലെ വിതരണങ്ങളിൽ നിങ്ങൾക്ക് പാക്കേജ് അപ്‌ഡേറ്റുകളുടെ റിലീസ് ട്രാക്ക് ചെയ്യാം ഡെബിയൻ, ഉബുണ്ടു, ആർഎൽഇഎൽ, SUSE/openSUSE, ഫെഡോറ, വളവ്, ALT, ഫ്രീബിഎസ് ഡി.

അവലംബം: opennet.ru