Foram lançadas atualizações corretivas para o sistema de controle de versões distribuído Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 e 2.29.3, que corrigem uma vulnerabilidade (CVE-2021-21300) que permite a execução remota de código ao clonar um repositório criado por um invasor usando o comando "git clone". Todas as versões do Git a partir da 2.15 estão suscetíveis a essa vulnerabilidade.
O problema ocorre ao usar operações de checkout adiadas, que são aplicadas em alguns filtros de limpeza, como os configuráveis no Git LFS. A exploração da vulnerabilidade é possível apenas em sistemas de arquivos que não diferenciam maiúsculas de minúsculas, mas que suportam links simbólicos, como NTFS, HFS+ e APFS (ou seja, em plataformas Windows e macOS).
Como uma medida de contorno, você pode desativar o tratamento de links simbólicos no git executando "git config --global core.symlinks false", ou desativar o suporte a processos de filtro com o comando "git config --show-scope --get-regexp 'filter\..*\.process'". Também é recomendável evitar clonar repositórios não verificados.
Fonte: opennet.ru
