De correcties van de gedistribueerde versiebeheersysteem Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 en 2.29.3 zijn gepubliceerd, waarin een kwetsbaarheid (CVE-2021-21300) is verholpen die het mogelijk maakt om kwaadaardige code op afstand uit te voeren bij het klonen van een repository van een aanvaller met het commando "git clone". Alle versies van Git vanaf versie 2.15 zijn kwetsbaar.
Het probleem doet zich voor bij het gebruik van uitgestelde checkout-bewerkingen, die worden toegepast in sommige schoonmaakfilters, zoals de configureerbare in Git LFS. De exploitatie van de kwetsbaarheid is alleen mogelijk in bestandssystemen die geen onderscheid maken tussen hoofdletters en kleine letters, maar wel symbolische koppelingen ondersteunen, zoals NTFS, HFS+ en APFS (d.w.z. op Windows- en macOS-platforms).
Als een tijdelijke oplossing voor bescherming kan men in Git de verwerking van symbolische koppelingen uitschakelen door "git config --global core.symlinks false" uit te voeren, of de ondersteuning voor filterprocessen met het commando "git config --show-scope --get-regexp 'filter\..*\.process'" uit te schakelen. Het wordt ook aanbevolen om het klonen van niet-gecontroleerde repositories te vermijden.
Bron: opennet.ru
