விநியோகிக்கப்பட்ட மூலக் கட்டுப்பாட்டு அமைப்பின் சரியான வெளியீடுகள் Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 மற்றும் 2.14.62.24.1. XNUMX, இது தாக்குபவர்களை கோப்பு முறைமையில் தன்னிச்சையான பாதைகளை மீண்டும் எழுத, ரிமோட் குறியீடு செயல்படுத்தலை ஒழுங்கமைக்க அல்லது ".git/" கோப்பகத்தில் கோப்புகளை மேலெழுத அனுமதிக்கும் பாதிப்புகளை சரிசெய்தது. ஊழியர்களால் கண்டறியப்பட்ட பெரும்பாலான சிக்கல்கள்
மைக்ரோசாப்ட் செக்யூரிட்டி ரெஸ்பான்ஸ் சென்டர், எட்டு பாதிப்புகளில் ஐந்து விண்டோஸ் இயங்குதளத்திற்கு குறிப்பிட்டவை.
- — ஸ்ட்ரீமிங் கட்டளை “feature export-marks=path” தன்னிச்சையான கோப்பகங்களுக்கு லேபிள்களை எழுதவும், இது தேர்வு செய்யப்படாத உள்ளீட்டுத் தரவுகளுடன் "ஜிட் ஃபாஸ்ட்-இறக்குமதி" செயல்பாட்டைச் செய்யும்போது கோப்பு முறைமையில் தன்னிச்சையான பாதைகளை மேலெழுதப் பயன்படும்.
- - கட்டளை வரி வாதங்களில் இருந்து தவறான தப்பித்தல் ssh:// URL ஐப் பயன்படுத்தி ரிகர்சிவ் குளோனிங்கின் போது தாக்குபவர் குறியீட்டை தொலைவிலிருந்து செயல்படுத்த. குறிப்பாக, எஸ்கேப்பிங் வாதங்கள் பின்சாய்வில் முடிவது (உதாரணமாக, “சோதனை \”) தவறாகக் கையாளப்பட்டது. இந்த வழக்கில், இரட்டை மேற்கோள்களுடன் ஒரு வாதத்தை உருவாக்கும் போது, கடைசி மேற்கோள் தப்பிக்கப்பட்டது, இது கட்டளை வரியில் உங்கள் விருப்பங்களை மாற்றுவதை ஒழுங்கமைக்க முடிந்தது.
- — சில நிபந்தனைகளின் கீழ் விண்டோஸ் சூழலில் துணை தொகுதிகளை (“clone —recurse-submodules”) மீண்டும் மீண்டும் குளோனிங் செய்யும் போது ஒரே ஜிட் கோப்பகத்தை இரண்டு முறை பயன்படுத்தத் தூண்டு ". git" கோப்பகத்திற்கு எழுதுதல். அவரது குறியீட்டை செயல்படுத்துவதை ஒழுங்கமைக்க, தாக்குபவர், எடுத்துக்காட்டாக, .git/config கோப்பில் உள்ள பிந்தைய செக்-அவுட் ஹேண்ட்லர் மூலம் அவரது ஸ்கிரிப்டை மாற்றலாம்.
- — “C:\” போன்ற பாதைகளை மொழிபெயர்க்கும் போது விண்டோஸ் பாதைகளில் லெட்டர் டிரைவ் பெயர்களுக்கான கையாளுபவர் ஒற்றை எழுத்து லத்தீன் அடையாளங்காட்டிகளை மாற்றுவதற்காக மட்டுமே வடிவமைக்கப்பட்டுள்ளது, ஆனால் “subst letter:path” மூலம் ஒதுக்கப்பட்ட மெய்நிகர் இயக்கிகளை உருவாக்கும் சாத்தியத்தை கணக்கில் எடுத்துக்கொள்ளவில்லை. . இத்தகைய பாதைகள் முழுமையானவை அல்ல, ஆனால் தொடர்புடைய பாதைகளாக கருதப்பட்டன, இது தீங்கிழைக்கும் களஞ்சியத்தை குளோனிங் செய்யும் போது, வேலை செய்யும் அடைவு மரத்திற்கு வெளியே ஒரு தன்னிச்சையான கோப்பகத்தில் ஒரு பதிவை ஒழுங்கமைக்க முடிந்தது (எடுத்துக்காட்டாக, வட்டில் எண்கள் அல்லது யூனிகோட் எழுத்துக்களைப் பயன்படுத்தும் போது. பெயர் - “1:\what\the\ hex.txt" அல்லது "ä:\tchibät.sch").
- — விண்டோஸ் இயங்குதளத்தில் பணிபுரியும் போது, NTFS இல் மாற்று தரவு ஸ்ட்ரீம்களின் பயன்பாடு, கோப்பு பெயருடன் “:stream-name:stream-type” பண்புக்கூறைச் சேர்ப்பதன் மூலம் உருவாக்கப்பட்டது, தீங்கிழைக்கும் களஞ்சியத்தை குளோனிங் செய்யும் போது ".git/" கோப்பகத்தில் கோப்புகளை மேலெழுதவும். எடுத்துக்காட்டாக, NTFS இல் உள்ள ".git::$INDEX_ALLOCATION" என்ற பெயர் ".git" கோப்பகத்திற்கான சரியான இணைப்பாகக் கருதப்பட்டது.
- - WSL (லினக்ஸிற்கான விண்டோஸ் துணை அமைப்பு) சூழலில் Git ஐப் பயன்படுத்தும் போது, வேலை செய்யும் கோப்பகத்தை அணுகும் போது NTFS இல் பெயர் கையாளுதலுக்கு எதிரான பாதுகாப்பு (FAT பெயர் மொழிபெயர்ப்பின் மூலம் தாக்குதல்கள் சாத்தியமாகும், எடுத்துக்காட்டாக, ".git" ஐ "git~1" அடைவு மூலம் அணுகலாம்).
- -
யூனிக்ஸ்/லினக்ஸில் ஏற்கத்தக்கது, ஆனால் அதன் ஒரு பகுதியாக ஏற்றுக்கொள்ளப்படும் பெயரில் பின்சாய்வுக்கோடுடன் (உதாரணமாக, "a\b") கோப்புகளைக் கொண்ட தீங்கிழைக்கும் களஞ்சியங்களை குளோனிங் செய்யும் போது Windows இயங்குதளத்தில் உள்ள ".git/" கோப்பகத்திற்கு எழுதுகிறது. விண்டோஸில் பாதை. - — சப்மாட்யூல் பெயர்களின் போதுமான சரிபார்ப்பு இலக்கு தாக்குதல்களை ஒழுங்கமைக்க பயன்படுத்தப்படலாம், இது மீண்டும் மீண்டும் குளோன் செய்யப்பட்டால், சாத்தியமானது தாக்குபவர்களின் குறியீட்டை செயல்படுத்த. Git ஆனது மற்றொரு துணைத்தொகுதியின் அடைவுக்குள் ஒரு துணைத்தொகுதி கோப்பகத்தை உருவாக்குவதைத் தடுக்கவில்லை, இது பெரும்பாலான சந்தர்ப்பங்களில் குழப்பத்தையே ஏற்படுத்தும், ஆனால் மறுசுழற்சி குளோனிங் செயல்பாட்டின் போது மற்றொரு தொகுதியின் உள்ளடக்கங்கள் மேலெழுதப்படுவதைத் தடுக்கவில்லை (எடுத்துக்காட்டாக, துணைத்தொகுப்பு அடைவுகள் "hippo" மற்றும் "hippo/hooks" ஆகியவை " .git/modules/hippo/" மற்றும் ".git/modules/hippo/hooks/" என வைக்கப்படுகின்றன, மேலும் ஹிப்போவில் உள்ள ஹூக்ஸ் டைரக்டரியை தூண்டப்பட்ட கொக்கிகளை ஹோஸ்ட் செய்ய தனித்தனியாக பயன்படுத்தலாம்.
விண்டோஸ் பயனர்கள் தங்கள் Git இன் பதிப்பை உடனடியாக புதுப்பிக்கவும், புதுப்பிக்கப்படும் வரை சரிபார்க்கப்படாத களஞ்சியங்களை குளோனிங் செய்வதைத் தவிர்க்கவும் அறிவுறுத்தப்படுகிறார்கள். Git பதிப்பை அவசரமாக புதுப்பிக்க இன்னும் முடியாவிட்டால், தாக்குதலின் அபாயத்தைக் குறைக்க, "git clone -recurse-submodules" மற்றும் "git submodule update" ஆகியவற்றை சரிபார்க்கப்படாத களஞ்சியங்களுடன் இயக்க வேண்டாம், "git" ஐப் பயன்படுத்த வேண்டாம். வேகமாக-இறக்குமதி" தேர்வு செய்யப்படாத உள்ளீட்டு ஸ்ட்ரீம்களுடன், மற்றும் NTFS-அடிப்படையிலான பகிர்வுகளுக்கு களஞ்சியங்களை குளோன் செய்ய வேண்டாம்.
கூடுதல் பாதுகாப்பிற்காக, புதிய வெளியீடுகள் .gitmodules இல் "submodule.{name}.update=!command" வடிவத்தின் கட்டுமானங்களைப் பயன்படுத்துவதையும் தடைசெய்கிறது. விநியோகங்களுக்கு, பக்கங்களில் தொகுப்பு புதுப்பிப்புகளின் வெளியீட்டைக் கண்காணிக்கலாம் ,, , , , , , .
ஆதாரம்: opennet.ru