ProHoster > Blog > Lajmet e internetit > Përditësimi i Git me korrigjimin e 8 dobësive

Përditësimi i Git me korrigjimin e 8 dobësive

Publikuar Versionet korrigjuese të sistemit të menaxhimit të përmbajtjes së shpërndarë Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 dhe 2.14.6 adresojnë dobësi që lejojnë një sulmues të azhurnojë rrugët arbitrare në sistemin e skedarëve, të organizojë ekzekutimin e kodit në distancë ose të rishkruajë skedarët në katalogun «.git/». Shumica e problemeve janë identifikuar nga stafi i
Qendrës së Sigurisë së Microsoft, pesë nga tetë dobësive janë specifike për platformën Windows.

  • CVE-2019-1348 — komandĂ« streaming «feature export-marks=path»lejon shkruan etiketat nĂ« katalogje tĂ« rastit, tĂ« cilat mund tĂ« pĂ«rdoren pĂ«r tĂ« rishkruar rrugĂ«t arbitrare nĂ« FS gjatĂ« ekzekutimit tĂ« operacionit «git fast-import» me tĂ« dhĂ«na tĂ« paverifikuara.
  • CVE-2019-1350 — ekranuar gabimisht argumentet e komandĂ«s mund tĂ« çojĂ« nĂ« ekzekutimin e kodit tĂ« sulmuesit gjatĂ« klonimit rekurziv duke pĂ«rdorur URL ssh://. NĂ« veçanti, ekranuar gabimisht argumentet qĂ« pĂ«rfundojnĂ« me njĂ« kthesĂ« (p.sh., «test \»). NĂ« kĂ«tĂ« rast, kur argumenti mbyllet me dy putra, putra e fundit bĂ«hej e ekranuar, e cila lejonte qĂ« tĂ« vendosen opsione tĂ« veta nĂ« komandĂ«n e linjĂ«s.
  • CVE-2019-1349 — gjatĂ« klonimit rekurziv tĂ« submodulĂ«ve («clone —recurse-submodules») nĂ« njĂ« mjedis Windows nĂ«n kushte tĂ« caktuara mund tĂ« inisi qĂ« tĂ« pĂ«rdoret njĂ« katalog git dy herĂ« (.git, git~1, git~2 dhe git~N nĂ« NTFS njihet si njĂ« katalog, por kjo situatĂ« u kontrollua vetĂ«m pĂ«r git~1), e cila mund tĂ« pĂ«rdorej pĂ«r tĂ« organizuar njĂ« shkruajĂ«se nĂ« katalogun «.git». PĂ«r tĂ« organizuar ekzekutimin e kodit tĂ« tij, njĂ« sulmues mund tĂ« injektojĂ« skriptin e tij pĂ«rmes trajtuesit post-checkout nĂ« skedarin .git/config.
  • CVE-2019-1351 — trajtuesi i emrave tĂ« shkronjave tĂ« disqeve nĂ« rrugĂ«t Windows gjatĂ« pĂ«rkthimit tĂ« rrugĂ«ve si «C:\» Ă«shtĂ« llogaritur vetĂ«m pĂ«r tĂ« zĂ«vendĂ«suar identifikatorĂ«t njĂ«shkronjĂ«she latine, por nuk merrej parasysh mundĂ«sia e krijimit tĂ« disqeve virtuale tĂ« caktuar pĂ«rmes «subst letĂ«r:rruga». KĂ«to rrugĂ« trajtoheshin jo si rrugĂ« absolute, por si rrugĂ« relative, e cila lejonte, gjatĂ« klonimit tĂ« njĂ« repository tĂ« dĂ«mshĂ«m, tĂ« shkruhet nĂ« njĂ« katalog tĂ« rastit jashtĂ« pemĂ«s sĂ« katalogĂ«ve (p.sh., duke pĂ«rdorur numra ose simbole unicode nĂ« emrin e disqes — «1:\what\the\hex.txt» ose «À:\tschibĂ€t.sch»).
  • CVE-2019-1352 — gjatĂ« punĂ«s nĂ« platformĂ«n Windows, pĂ«rdorimi i flukseve alternative tĂ« tĂ« dhĂ«nave nĂ« NTFS, tĂ« krijuara pĂ«rmes shtimit tĂ« atributeve «:stream-name:stream-type» nĂ« emrin e skedarit, lejonte mund tĂ« rishkruante skedarĂ«t nĂ« katalogun «.git/» gjatĂ« klonimit tĂ« njĂ« rezervuari tĂ« dĂ«mshĂ«m. PĂ«r shembull, emri «.git::$INDEX_ALLOCATION» nĂ« NTFS trajtohej si njĂ« lidhje e saktĂ« nĂ« katalogun «.git».
  • CVE-2019-1353 — kur pĂ«rdorej Git nĂ« mjedisin WSL (Windows Subsystem for Linux) gjatĂ« qasjes nĂ« katalogun e punĂ«s nuk aplikohej mbrojtja nga manipulimi i emrave nĂ« NTFS (ishte e mundur tĂ« sulmohej pĂ«rmes pĂ«rkthimit tĂ« emrave FAT, pĂ«r shembull, ndihma kundĂ«r «.git» mund tĂ« arrihej pĂ«rmes katalogut «git~1»).
  • CVE-2019-1354 —
    mundësia shkruar në katalogun «.git/» në platformën Windows gjatë klonimit të rezervuareve të dëmshme që përmbajnë skedarë me një kthesë në emër (p.sh., «a\b»), e cila lejohet në Unix/Linux, por perceptohet si pjesë e rrugës në Windows.
  • CVE-2019-1387 — verifikimi i pamjaftueshĂ«m i emrave tĂ« submodulĂ«ve mund tĂ« pĂ«rdorej pĂ«r tĂ« organizuar sulme tĂ« synuara qĂ« nĂ« klonimin rekurziv potencialisht mund tĂ« çonin nĂ« ekzekutimin e kodit tĂ« sulmuesit. Git nuk ndalonte krijimin e njĂ« katalogu submoduli nĂ« katalogun e njĂ« submoduli tjetĂ«r, gjĂ« qĂ« nĂ« shumicĂ«n e rasteve mund tĂ« çonte vetĂ«m nĂ« ngatĂ«rrim, por potencialisht nuk pĂ«rjashton rishkrimin e pĂ«rmbajtjes sĂ« modulit tjetĂ«r gjatĂ« procesit tĂ« klonimit rekurziv (p.sh., katalogĂ«t e submodulĂ«ve «hippo» dhe «hippo/hooks» vendosen si «.git/modules/hippo/» dhe «.git/modules/hippo/hooks/», ndĂ«rsa katalogu hooks nĂ« hippo mund tĂ« pĂ«rdoret veçmas pĂ«r tĂ« vendosur trajtuesit e ekzekutueshĂ«m).

PĂ«rdoruesve tĂ« Windows u rekomandohet tĂ« azhurnojnĂ« menjĂ«herĂ« versionin e Git, dhe deri nĂ« azhurnim, tĂ« shmangin klonimin e rezervuareve tĂ« paverifikuara. NĂ«se nuk ka mundĂ«si tĂ« azhurnohet menjĂ«herĂ« versioni i Git, pĂ«r tĂ« ulur rrezikun nga sulmi rekomandohet tĂ« mos ekzekutoheni «git clone —recurse-submodules» dhe «git submodule update» me rezervuarĂ« tĂ« paverifikuar, tĂ« mos pĂ«rdoren «git fast-import» me burime tĂ« dhĂ«nash tĂ« paverifikuara dhe tĂ« mos klonohen rezervuare nĂ« volume tĂ« bazuar nĂ« NTFS.

Për mbrojtje shtesë, në versionet e reja gjithashtu ndalohet përdorimi i konstruktimeve në .gitmodules në formën «submodule.{name}.update=!command». Për shpërndarjet, për të ndjekur lëshimin e përditësimeve të paketave, mund të vizitoni faqet Debian,Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Burimi: opennet.ru

Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS đŸ”„ Bleni hostim tĂ« besueshĂ«m pĂ«r faqe me mbrojtje nga DDoS, serverĂ« VPS VDS | ProHoster