د بل زیان مننې سره د Git تازه کول ثابت شوي

خپور شوی د توزیع شوي سرچینې کنټرول سیسټم اصلاحي خپرونې Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 او 2.17.5, in کوم چې له منځه یوړل زیانمنتیا (CVE-2020-11008)، یادونه کوي ستونزه، تیره اونۍ له منځه یوړل شو. نوی زیانمنونکي د "credential.helper" سمبالونکي هم اغیزه کوي او کله چې یو ځانګړي فارمیټ شوي URL تیریږي چې د نوي لاین کرکټر، یو خالي کوربه، یا د نه مشخص شوي غوښتنې سکیم لري ګټه پورته کیږي. کله چې دا ډول یو آر ایل پروسس کوي، credential.helper د اسنادو په اړه معلومات لیږي چې د غوښتل شوي پروتوکول یا کوربه لاسرسی سره سمون نه لري.

د پخوانۍ ستونزې برعکس، کله چې د نوي زیان څخه ګټه پورته کول، برید کوونکی نشي کولی په مستقیم ډول کوربه کنټرول کړي چې د بل چا اعتبار به لیږدول کیږي. کوم اسناد چې افشا شوي په دې پورې اړه لري چې ورک شوي "میزبان" پیرامیټر څنګه په credential.helper کې اداره کیږي. د ستونزې اصلي برخه دا ده چې په URL کې خالي ساحې د ډیری credential.helper هینډلر لخوا تشریح کیږي چې اوسنۍ غوښتنې ته د هر ډول اعتبار پلي کولو لپاره لارښوونې دي. په دې توګه، credential.helper کولی شي د بل سرور لپاره زیرمه شوي اسناد د برید کونکي سرور ته واستوي چې په URL کې مشخص شوي.

ستونزه هغه وخت رامینځته کیږي کله چې عملیات ترسره کوي لکه "git clone" او "git fetch"، مګر خورا خطرناک دی کله چې د فرعي ماډلونو پروسس کوي - کله چې د "git submodule update" ترسره کول، د ذخیره کولو څخه د gitmodules فایل کې مشخص شوي URLs په اوتومات ډول پروسس کیږي. د ستونزې د مخنیوي لپاره د حل په توګه وړاندیز شوی credential.helper مه کاروئ کله چې عامه زیرمو ته لاسرسی ومومئ او د غیر چیک شوي ذخیره کولو سره په "--recurse-submodules" حالت کې "git clone" مه کاروئ.

په نوي Git ریلیزونو کې وړاندیز شوی اصلاح د URLs درلودلو لپاره د credential.helper زنګ وهلو مخه نیسي نه نمایشي ارزښتونه (د مثال په توګه، کله چې د دوو پر ځای درې سلیشونه مشخص کړئ - "http:///host" یا د پروتوکول سکیم پرته - "http::ftp.example.com/"). مسله په پلورنځي اغیزه کوي (د ګیټ کریډیټ ذخیره کې جوړ شوی) ، کیچ (د داخل شوي سندونو جوړ شوی کیچ) ، او osxkeychain (macOS ذخیره) اداره کونکي. د ګیټ کریډنشل مدیر (د وینډوز ذخیره) سمبالونکی اغیزه نلري.

تاسو کولی شئ په پاڼو کې توزیع کې د بسته بندي تازه معلوماتو خوشې کول تعقیب کړئ Debian, د وبنټو, RHEL, SUSE/openSUSE, فیډورا, Arch, ALT, FreeBSD.

سرچینه: opennet.ru

Add a comment