Навсозии Git бо осебпазирии дигар ислоҳ карда шуд

Нашр шудааст версияҳои ислоҳкунандаи системаи идоракунии сарчашмаҳои тақсимшудаи Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ва 2.17.5, дар ки бартараф намуд осебпазирӣ (CVE-2020-11008), хотиррасон мекунад мушкилот, ҳафтаи гузашта бартараф карда шуд. осебпазирии нав инчунин ба коркардкунандагони "credential.helper" таъсир мерасонад ва ҳангоми интиқоли URL-и махсус форматшуда, ки дорои аломати сатри нав, ҳости холӣ ё схемаи дархости номуайян аст, истифода мешавад. Ҳангоми коркарди чунин URL, credential.helper маълумотро дар бораи маълумотҳое, ки ба протоколи дархостшуда ё хости дастрасшаванда мувофиқат намекунанд, мефиристад.

Баръакси мушкилоти қаблӣ, ҳангоми истифодаи осебпазирии нав, ҳамлакунанда наметавонад мизбонеро, ки аз он маълумоти шахсии дигар интиқол дода мешавад, мустақиман назорат кунад. Кадом маълумотҳои эътимоднома фош мешаванд, аз он вобаста аст, ки параметри гумшудаи "мизбон" дар credential.helper чӣ гуна коркард мешавад. Асоси мушкилот дар он аст, ки майдонҳои холӣ дар URL аз ҷониби бисёре аз коркардкунандагони credential.helper ҳамчун дастур барои татбиқи ҳама гуна эътимоднома ба дархости ҷорӣ тафсир карда мешаванд. Ҳамин тариқ, credential.helper метавонад эътимодномаҳои барои сервери дигар захирашударо ба сервери ҳамлагар, ки дар URL нишон дода шудааст, фиристад.

Мушкилот ҳангоми иҷрои амалҳо ба мисли "git clone" ва "git fetch" ба вуҷуд меояд, аммо аз ҳама хатарнок ҳангоми коркарди зермодулҳо - ҳангоми иҷрои "навсозии зермодули git", URL-ҳои дар файли .gitmodules аз анбор нишондодашуда ба таври худкор коркард мешаванд. Ҳамчун як роҳи ҳал барои бастани мушкилот тавсия дода мешавад Ҳангоми дастрасӣ ба анборҳои ҷамъиятӣ credential.helper-ро истифода набаред ва "git clone" -ро дар реҷаи "--recurse-submodules" бо анборҳои тафтишнашуда истифода набаред.

Дар версияҳои нави Git пешниҳод карда мешавад ислоҳ занг задани credential.helperро барои URL-ҳои дорои арзишҳои номатлуб (масалан, ҳангоми муайян кардани се хат ба ҷои ду - “http:///host” ё бидуни схемаи протокол - “http::ftp.example.com/”). Мушкилот ба мағоза (захираи дарунсохташудаи Git), кэш (кеши дарунсохтаи маълумоти воридшуда) ва коркардкунандагони osxkeychain (нигоҳдории macOS) таъсир мерасонад. Ба коркарди Git Credential Manager (анбори Windows) таъсир намерасонад.

Шумо метавонед нашри навсозиҳои бастаҳоро дар дистрибюторҳо дар саҳифаҳо пайгирӣ кунед Debian, Ubuntu, RHEL, SUSE/openSUSE, Федора, гунбаз, АСТ, FreeBSD.

Манбаъ: opennet.ru