matoleo ya marekebisho ya mfumo wa udhibiti wa chanzo uliosambazwa Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 na 2.14.62.24.1 .. Shida nyingi zinazotambuliwa na wafanyikazi
Kituo cha Majibu ya Usalama cha Microsoft, udhaifu tano kati ya nane ni mahususi kwa jukwaa la Windows.
- β amri ya utiririshaji "alama za mauzo ya nje = njia" andika lebo kwa saraka za kiholela, ambazo zinaweza kutumika kubatilisha njia za kiholela katika mfumo wa faili wakati wa kufanya operesheni ya "git-import" na data ya uingizaji ambayo haijatiliwa alama.
- - kutoroka vibaya kwa hoja za mstari wa amri kwa utekelezaji wa mbali wa msimbo wa mshambulizi wakati wa uigaji unaojirudia kwa kutumia ssh:// URL. Hasa, kutoroka kwa hoja zinazoishia kwa kurudi nyuma (kwa mfano, "mtihani \") kulishughulikiwa vibaya. Katika kesi hii, wakati wa kuunda hoja na nukuu mbili, nukuu ya mwisho ilitoroka, ambayo ilifanya iwezekane kupanga uingizwaji wa chaguzi zako kwenye safu ya amri.
- - wakati wa kuunda tena moduli ndogo ("clone -recurse-submodules") katika mazingira ya Windows chini ya hali fulani. anzisha matumizi ya saraka sawa ya git mara mbili (.git, git~1, git~2 na git~N zinatambuliwa kama saraka moja katika NTFS, lakini hali hii ilijaribiwa kwa git~1), ambayo inaweza kutumika kupanga kuandika kwa saraka ". git". Ili kupanga utekelezaji wa msimbo wake, mvamizi, kwa mfano, anaweza kubadilisha hati yake kupitia kidhibiti cha baada ya kulipa katika faili ya .git/config.
- β kidhibiti cha majina ya viendeshi vya herufi katika njia za Windows wakati wa kutafsiri njia kama vile βC:\β kiliundwa tu kuchukua nafasi ya vitambulishi vya Kilatini vyenye herufi moja, lakini hakikuzingatia uwezekano wa kuunda hifadhi pepe zilizotolewa kupitia βherufi ndogo:njiaβ . Njia kama hizo hazikuchukuliwa kuwa kamili, lakini kama njia za jamaa, ambayo ilifanya iwezekane, wakati wa kuunda hazina mbaya, kupanga rekodi kwenye saraka ya kiholela nje ya mti wa saraka ya kufanya kazi (kwa mfano, wakati wa kutumia nambari au herufi za unicode kwenye diski. jina - "1:\nini\the\ hex.txt" au "Γ€:\tschibΓ€t.sch").
- - wakati wa kufanya kazi kwenye jukwaa la Windows, matumizi ya mitiririko mbadala ya data katika NTFS, iliyoundwa kwa kuongeza sifa ya ":stream-name:stream-type" kwa jina la faili, batilisha faili katika saraka ya ".git/" wakati wa kuunda hazina hasidi. Kwa mfano, jina ".git::$INDEX_ALLOCATION" katika NTFS lilichukuliwa kama kiungo halali cha saraka ya ".git".
- - unapotumia Git katika mazingira ya WSL (Windows Subsystem kwa Linux) wakati wa kupata saraka ya kufanya kazi ulinzi dhidi ya upotoshaji wa jina katika NTFS (mashambulizi kupitia tafsiri ya jina la FAT yaliwezekana, kwa mfano, ".git" inaweza kufikiwa kupitia saraka ya "git~1").
- -
huandikia saraka ya ".git/" kwenye jukwaa la Windows wakati wa kuunda hazina mbovu zilizo na faili zilizo na ugomvi katika jina (kwa mfano, "a\b"), ambayo inakubalika kwenye Unix/Linux, lakini inakubaliwa kama sehemu ya njia kwenye Windows. - - ukaguzi usiotosha wa majina ya moduli ndogo inaweza kutumika kupanga mashambulio yaliyolengwa, ambayo, kama yakifanywa kwa kujirudia, yanaweza uwezekano kutekeleza msimbo wa mshambuliaji. Git haikuzuia uundaji wa saraka ya moduli ndogo ndani ya saraka ya moduli nyingine, ambayo katika hali nyingi ingesababisha tu mkanganyiko, lakini haikuweza kuzuia yaliyomo kwenye moduli nyingine kuandikwa tena wakati wa mchakato wa uundaji wa kujirudia (kwa mfano, saraka za moduli ndogo). "kiboko" na "kiboko/kulabu" zimewekwa kama " .git/modules/hippo/" na ".git/modules/hippo/ kulabu/", na saraka ya ndoano katika kiboko inaweza kutumika kando kupangisha ndoano zilizoanzishwa.
Watumiaji wa Windows wanashauriwa kusasisha mara moja toleo lao la Git, na kujiepusha na kuweka hazina ambazo hazijathibitishwa hadi sasisho. Ikiwa bado haiwezekani kusasisha toleo la Git kwa haraka, kisha kupunguza hatari ya kushambuliwa, inashauriwa kutoendesha "git clone -recurse-submodules" na "git submodule update" na hazina ambazo hazijachunguzwa, sio kutumia "git". leta kwa harakaβ na mitiririko ya ingizo ambayo haijachaguliwa, na sio kuiga hazina kwa vigawanyiko vinavyotegemea NTFS.
Kwa usalama ulioongezwa, matoleo mapya pia yanakataza utumizi wa miundo ya fomu "moduli ndogo.{name}.update=!command" katika .gitmodules. Kwa usambazaji, unaweza kufuatilia kutolewa kwa masasisho ya kifurushi kwenye kurasa ,, , , , , , .
Chanzo: opennet.ru