ਇੱਕ ਹੋਰ ਕਮਜ਼ੋਰੀ ਫਿਕਸ ਦੇ ਨਾਲ Git ਅੱਪਡੇਟ

ਪ੍ਰਕਾਸ਼ਿਤ ਡਿਸਟ੍ਰੀਬਿਊਟਡ ਸੋਰਸ ਕੰਟਰੋਲ ਸਿਸਟਮ Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ਅਤੇ 2.17.5, ਵਿੱਚ ਸੁਧਾਰਾਤਮਕ ਰੀਲੀਜ਼ ਜਿਸ ਨੂੰ ਖਤਮ ਕਰ ਦਿੱਤਾ ਗਿਆ ਕਮਜ਼ੋਰੀ (CVE-2020-11008), ਯਾਦ ਦਿਵਾਉਂਦਾ ਹੈ ਸਮੱਸਿਆ, ਪਿਛਲੇ ਹਫਤੇ ਹਟਾਇਆ ਗਿਆ। ਨਵੀਂ ਕਮਜ਼ੋਰੀ "credential.helper" ਹੈਂਡਲਰਾਂ ਨੂੰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਅਤੇ ਇੱਕ ਨਵੀਂ ਲਾਈਨ ਅੱਖਰ, ਇੱਕ ਖਾਲੀ ਹੋਸਟ, ਜਾਂ ਇੱਕ ਅਣ-ਨਿਰਧਾਰਤ ਬੇਨਤੀ ਸਕੀਮ ਵਾਲੇ ਵਿਸ਼ੇਸ਼ ਰੂਪ ਵਿੱਚ ਫਾਰਮੈਟ ਕੀਤੇ URL ਨੂੰ ਪਾਸ ਕਰਨ ਵੇਲੇ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਅਜਿਹੇ URL ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ, credential.helper ਉਹਨਾਂ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਭੇਜਦਾ ਹੈ ਜੋ ਬੇਨਤੀ ਕੀਤੇ ਪ੍ਰੋਟੋਕੋਲ ਜਾਂ ਐਕਸੈਸ ਕੀਤੇ ਜਾ ਰਹੇ ਹੋਸਟ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ।

ਪਿਛਲੀ ਸਮੱਸਿਆ ਦੇ ਉਲਟ, ਇੱਕ ਨਵੀਂ ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਸਮੇਂ, ਹਮਲਾਵਰ ਸਿੱਧੇ ਹੋਸਟ ਨੂੰ ਨਿਯੰਤਰਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ ਜਿੱਥੋਂ ਕਿਸੇ ਹੋਰ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਟ੍ਰਾਂਸਫਰ ਕੀਤੇ ਜਾਣਗੇ। ਕਿਹੜੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਲੀਕ ਕੀਤੇ ਗਏ ਹਨ ਇਹ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਕਿ credential.helper ਵਿੱਚ ਗੁੰਮ ਹੋਏ "ਹੋਸਟ" ਪੈਰਾਮੀਟਰ ਨੂੰ ਕਿਵੇਂ ਸੰਭਾਲਿਆ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਦਾ ਮੂਲ ਇਹ ਹੈ ਕਿ URL ਵਿੱਚ ਖਾਲੀ ਖੇਤਰਾਂ ਨੂੰ ਬਹੁਤ ਸਾਰੇ credential.helper ਹੈਂਡਲਰਾਂ ਦੁਆਰਾ ਵਰਤਮਾਨ ਬੇਨਤੀ 'ਤੇ ਕਿਸੇ ਵੀ ਪ੍ਰਮਾਣ ਪੱਤਰ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਹਦਾਇਤਾਂ ਵਜੋਂ ਵਿਆਖਿਆ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, credential.helper ਕਿਸੇ ਹੋਰ ਸਰਵਰ ਲਈ ਸਟੋਰ ਕੀਤੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ URL ਵਿੱਚ ਦਰਸਾਏ ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ ਨੂੰ ਭੇਜ ਸਕਦਾ ਹੈ।

ਸਮੱਸਿਆ ਉਦੋਂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ "ਗਿਟ ਕਲੋਨ" ਅਤੇ "ਗਿਟ ਫੈਚ" ਵਰਗੇ ਓਪਰੇਸ਼ਨ ਕਰਦੇ ਹਨ, ਪਰ ਸਬਮੋਡਿਊਲਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਸਭ ਤੋਂ ਵੱਧ ਖਤਰਨਾਕ ਹੁੰਦਾ ਹੈ - ਜਦੋਂ "ਗਿਟ ਸਬਮੋਡਿਊਲ ਅੱਪਡੇਟ" ਕਰਦੇ ਹੋ, ਰਿਪੋਜ਼ਟਰੀ ਤੋਂ .gitmodules ਫਾਈਲ ਵਿੱਚ ਦਰਸਾਏ URLs ਨੂੰ ਆਪਣੇ ਆਪ ਪ੍ਰੋਸੈਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਹੱਲ ਦੇ ਰੂਪ ਵਿੱਚ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਵੇਲੇ credential.helper ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ ਅਤੇ "--recurse-submodules" ਮੋਡ ਵਿੱਚ ਅਣਚੈਕ ਕੀਤੇ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ ਨਾਲ "git clone" ਦੀ ਵਰਤੋਂ ਨਾ ਕਰੋ।

ਨਵੇਂ ਗਿੱਟ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਸੁਧਾਰ URLs ਵਾਲੇ credential.helper ਨੂੰ ਕਾਲ ਕਰਨ ਤੋਂ ਰੋਕਦਾ ਹੈ ਬੇਮਿਸਾਲ ਮੁੱਲ (ਉਦਾਹਰਨ ਲਈ, ਜਦੋਂ ਦੋ ਦੀ ਬਜਾਏ ਤਿੰਨ ਸਲੈਸ਼ ਨਿਰਧਾਰਤ ਕਰਦੇ ਹੋ - “http:///host” ਜਾਂ ਬਿਨਾਂ ਪ੍ਰੋਟੋਕੋਲ ਸਕੀਮ - “http::ftp.example.com/”)। ਇਹ ਮੁੱਦਾ ਸਟੋਰ (ਬਿਲਟ-ਇਨ ਗਿੱਟ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਸਟੋਰੇਜ), ਕੈਸ਼ (ਐਂਟਰ ਕੀਤੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲਸ ਦਾ ਬਿਲਟ-ਇਨ ਕੈਸ਼), ਅਤੇ osxkeychain (macOS ਸਟੋਰੇਜ) ਹੈਂਡਲਰ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦਾ ਹੈ। ਗਿੱਟ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਮੈਨੇਜਰ (ਵਿੰਡੋਜ਼ ਰਿਪੋਜ਼ਟਰੀ) ਹੈਂਡਲਰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਹੁੰਦਾ ਹੈ।

ਤੁਸੀਂ ਪੰਨਿਆਂ 'ਤੇ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ ਪੈਕੇਜ ਅੱਪਡੇਟ ਦੀ ਰਿਲੀਜ਼ ਨੂੰ ਟਰੈਕ ਕਰ ਸਕਦੇ ਹੋ ਡੇਬੀਅਨ, ਉਬਤੂੰ, RHEL, ਸੂਸੇ/ਓਪਨਸੂਸੇ, ਫੇਡੋਰਾ, ਕਤਰ, ALT, ਫ੍ਰੀਸਬੈਡ.

ਸਰੋਤ: opennet.ru