Корективна издања дистрибуираног система за контролу извора Гит 2.30.2, 2.17.6, 2.18.5, 2.19.6, 2.20.5, 2.21.4, 2.22.5, 2.23.4, 2.24.4, 2.25.5, 2.26.3. су објављени .2.27.1, 2.28.1, 2.29.3 и 2021, који су поправили рањивост (ЦВЕ-21300-2.15) која омогућава даљинско извршавање кода приликом клонирања нападачевог спремишта помоћу команде „гит цлоне“. То утиче на сва издања Гита од верзије XNUMX.
Проблем се јавља када се користе операције одложеног преузимања, које се користе у неким филтерима за чишћење, као што су они конфигурисани у Гит ЛФС-у. Рањивост се може искористити само на системима датотека који не разликују велика и мала слова и који подржавају симболичке везе, као што су НТФС, ХФС+ и АПФС (тј. на Виндовс и мацОС платформама).
Као безбедносно решење, можете да онемогућите обраду симболичних веза у гит-у тако што ћете покренути „гит цонфиг —глобал цоре.симлинкс фалсе“ или онемогућити подршку филтера процеса помоћу команде „гит цонфиг —схов-сцопе —гет-регекп 'филтер\.. * \.процес'". Такође се препоручује избегавање клонирања непроверених складишта.
Извор: опеннет.ру