Git अपडेट अर्को कमजोरी फिक्स गरियो

प्रकाशित वितरित स्रोत नियन्त्रण प्रणाली Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 र 2.17.5, in को सुधारात्मक रिलीजहरू जसले हटायो कमजोरी (CVE-2020-11008), सम्झना समस्या, गत हप्ता हटाइयो। नयाँ कमजोरीले "credential.helper" ह्यान्डलरहरूलाई पनि असर गर्छ र नयाँ लाइन क्यारेक्टर, खाली होस्ट, वा निर्दिष्ट नगरिएको अनुरोध योजना भएको विशेष ढाँचा गरिएको URL पास गर्दा शोषण गरिन्छ। यस्तो URL लाई प्रशोधन गर्दा, credential.helper ले अनुरोध गरिएको प्रोटोकल वा होस्ट पहुँच गर्न नमिल्ने प्रमाणहरू बारे जानकारी पठाउँछ।

अघिल्लो समस्याको विपरीत, नयाँ जोखिमको शोषण गर्दा, आक्रमणकारीले सीधै होस्टलाई नियन्त्रण गर्न सक्दैन जसबाट अरू कसैको प्रमाणहरू हस्तान्तरण गरिनेछ। कुन प्रमाणहरू लीक भएका छन् भन्ने कुरा credential.helper मा छुटेको "होस्ट" प्यारामिटर कसरी ह्यान्डल गरिन्छ भन्ने कुरामा निर्भर गर्दछ। समस्याको मूल यो हो कि URL मा खाली फिल्डहरू धेरै credential.helper ह्यान्डलरहरूले हालको अनुरोधमा कुनै पनि प्रमाणहरू लागू गर्न निर्देशनहरूको रूपमा व्याख्या गरेका छन्। यसरी, credential.helper ले URL मा निर्दिष्ट आक्रमणकर्ताको सर्भरमा अर्को सर्भरको लागि भण्डारण गरिएका प्रमाणहरू पठाउन सक्छ।

"git clone" र "git fetch" जस्ता कार्यहरू गर्दा समस्या उत्पन्न हुन्छ, तर सबमोड्युलहरू प्रशोधन गर्दा सबैभन्दा खतरनाक हुन्छ - "git submodule update" प्रदर्शन गर्दा, भण्डारबाट .gitmodules फाइलमा निर्दिष्ट गरिएका URL हरू स्वचालित रूपमा प्रशोधन हुन्छन्। समस्या ब्लक गर्न एक workaround को रूपमा सिफारिश गरिएको सार्वजनिक भण्डारहरू पहुँच गर्दा credential.helper प्रयोग नगर्नुहोस् र अनचेक रिपोजिटरीहरूसँग "--recurse-submodules" मोडमा "git clone" प्रयोग नगर्नुहोस्।

नयाँ Git रिलीजहरूमा प्रस्ताव गरिएको सुधार URL को लागि credential.helper कल गर्न रोक्छ प्रतिनिधित्व गर्न नसकिने मूल्यहरू (उदाहरणका लागि, दुईको सट्टा तीन स्ल्याशहरू निर्दिष्ट गर्दा - "http:///host" वा प्रोटोकल योजना बिना - "http::ftp.example.com/")। मुद्दाले स्टोर (बिल्ट-इन Git क्रेडेन्सियल भण्डारण), क्यास (प्रविष्ट गरिएका प्रमाणहरूको बिल्ट-इन क्यास), र osxkeychain (macOS भण्डारण) ह्यान्डलरहरूलाई असर गर्छ। Git प्रमाण प्रबन्धक (Windows भण्डार) ह्यान्डलर प्रभावित छैन।

तपाइँ पृष्ठहरूमा वितरणहरूमा प्याकेज अद्यावधिकहरूको रिलीज ट्र्याक गर्न सक्नुहुन्छ Debian, Ubuntu, RHEL, SUSE/openSUSE, फेडोरा, आर्क, ALT, फ्रिबिएसडि.

स्रोत: opennet.ru