Boli zverejnené opravy distribuovaného systému správy zdrojových textov Git 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3, 2.27.1, 2.28.1 a 2.29.3, v ktorých bola odstránená zraniteľnosť (CVE-2021-21300), umožňujúca vzdialené spúšťanie kódu pri klonovaní repozitára útočníka pomocou príkazu „git clone“. Zraniteľnosti sú vystavené všetky verzie Git od verzie 2.15.
Problém sa prejavuje pri použití odložených operácií checkout, ktoré sa aplikujú v niektorých čistiacich filtroch, napríklad nastavených v Git LFS. Exploitácia zraniteľnosti je možná iba vo file systémoch, ktoré nerozlišujú veľké a malé písmená, ale podporujú symbolické odkazy, ako sú NTFS, HFS+ a APFS (t.j. na platformách Windows a macOS).
Ako obchádzajúce riešenie ochrany je možné v gite vypnúť spracovanie symbolických odkazov, vykonaním príkazu „git config —global core.symlinks false“, alebo vypnúť podporu procesov-filtrov pomocou príkazu „git config —show-scope —get-regexp ‘filter\..*\.process'“. Odporúča sa tiež vyhnúť sa klonovaniu neoverených repozitárov.
Zdroj: opennet.ru
