Imudojuiwọn Git pẹlu awọn ailagbara 8 ti o wa titi

Atejade awọn idasilẹ atunṣe ti eto iṣakoso orisun pinpin Git 2.24.1, 2.23.1, 2.22.2, 2.21.1, 2.20.2, 2.19.3, 2.18.2, 2.17.3, 2.16.6, 2.15.4 ati 2.14.62.24.1. XNUMX, eyiti o jẹ awọn ailagbara ti o wa titi ti o fun laaye ikọlu lati tun awọn ọna lainidii kọ sinu eto faili, ṣeto ipaniyan koodu isakoṣo latọna jijin, tabi tun awọn faili kọ sinu iwe “.git/”. Pupọ awọn iṣoro ti a ṣe idanimọ nipasẹ awọn oṣiṣẹ
Ile-iṣẹ Idahun Aabo Microsoft, marun ninu awọn ailagbara mẹjọ jẹ pato si pẹpẹ Windows.

  • CVE-2019-1348 - aṣẹ ṣiṣanwọle “ẹya okeere-marks=ona”ti o faye gba kọ awọn aami si awọn ilana lainidii, eyiti o le ṣee lo lati tunkọ awọn ipa-ọna lainidii ninu eto faili nigba ṣiṣe iṣẹ “git fast-import” pẹlu data titẹ sii ti a ko ṣayẹwo.
  • CVE-2019-1350 - ti ko tọ escaping ti pipaṣẹ ila ariyanjiyan le yorisi si ipaniyan latọna jijin ti koodu ikọlu lakoko isọdọtun isọdọtun nipa lilo ssh: // URL. Ni pataki, salọ awọn ariyanjiyan ti o pari ni ipadasẹhin (fun apẹẹrẹ, “idanwo \”) ni a mu lọna ti ko tọ. Ni ọran yii, nigbati o ba ṣe agbekalẹ ariyanjiyan pẹlu awọn agbasọ ilọpo meji, agbasọ ti o kẹhin ti salọ, eyiti o jẹ ki o ṣee ṣe lati ṣeto awọn aropo awọn aṣayan rẹ lori laini aṣẹ.
  • CVE-2019-1349 - nigbati awọn submodules cloning leralera (“clone —recurse-submodules”) ni agbegbe Windows labẹ awọn ipo kan o le jẹ nfa lilo itọsọna git kanna lẹẹmeji (.git, git ~ 1, git ~ 2 ati git ~ N ni a mọ bi itọsọna kan ni NTFS, ṣugbọn ipo yii ni idanwo nikan fun git ~ 1), eyiti o le ṣee lo lati ṣeto kikọ si liana ". git". Lati ṣeto ipaniyan ti koodu rẹ, ikọlu kan, fun apẹẹrẹ, le paarọ iwe afọwọkọ rẹ nipasẹ olutọju ibi-iṣayẹwo-lẹhin ninu faili .git/config.
  • CVE-2019-1351 - oluṣakoso fun awọn orukọ awakọ lẹta ni awọn ọna Windows nigba titumọ awọn ipa-ọna bii “C: \” jẹ apẹrẹ nikan lati rọpo awọn idamọ Latin-lẹta kan, ṣugbọn ko ṣe akiyesi iṣeeṣe ti ṣiṣẹda awọn awakọ foju ti a yàn nipasẹ “lẹta subst: ipa-ọna” . Iru awọn ipa-ọna bẹẹ ni a ṣe itọju ko bi pipe, ṣugbọn bi awọn ọna ibatan, eyiti o jẹ ki o ṣee ṣe, nigbati o ba n pa ibi-ipamọ irira kan, lati ṣeto igbasilẹ kan ninu itọsọna lainidii ni ita igi itọsọna iṣẹ (fun apẹẹrẹ, nigba lilo awọn nọmba tabi awọn ohun kikọ unicode ninu disiki naa). orukọ - "1: \kini \ hex.txt" tabi "ä: \ tschibät.sch").
  • CVE-2019-1352 - nigbati o ba n ṣiṣẹ lori pẹpẹ Windows, lilo awọn ṣiṣan data omiiran ni NTFS, ti a ṣẹda nipasẹ fifi “: ṣiṣan-orukọ: ṣiṣan-iru” abuda si orukọ faili, laaye kọ awọn faili kọ sinu iwe ilana ".git/" nigbati o ba pa ibi ipamọ irira kan. Fun apẹẹrẹ, orukọ ".git::$INDEX_ALLOCATION" ni NTFS ni a ṣe itọju bi ọna asopọ to wulo si itọsọna ".git".
  • CVE-2019-1353 - nigba lilo Git ni agbegbe WSL (Windows Subsystem fun Linux) nigbati o wọle si itọsọna iṣẹ ko lo Idaabobo lodi si ifọwọyi orukọ ni NTFS (awọn ikọlu nipasẹ itumọ orukọ FAT ṣee ṣe, fun apẹẹrẹ, “.git” le wọle nipasẹ ilana “git ~ 1”).
  • CVE-2019-1354 -
    anfaani kọwe si ilana “.git/” lori pẹpẹ Windows nigbati o ba n pa awọn ibi ipamọ irira ti o ni awọn faili pẹlu ifẹhinti ẹhin ninu orukọ (fun apẹẹrẹ, “a b”), eyiti o jẹ itẹwọgba lori Unix/Linux, ṣugbọn o jẹ apakan ti ọna lori Windows.

  • CVE-2019-1387 - Ṣiṣayẹwo ti ko to ti awọn orukọ submodule le ṣee lo lati ṣeto awọn ikọlu ti a fojusi, eyiti, ti o ba jẹ cloned leralera, le ni agbara le yorisi lati ṣiṣẹ koodu ikọlu naa. Git ko ṣe idiwọ ẹda ti itọsọna submodule laarin itọsọna submodule miiran, eyiti ni ọpọlọpọ awọn ọran yoo ja si rudurudu nikan, ṣugbọn ko ṣe idiwọ awọn akoonu ti module miiran lati kọkọ lakoko ilana isọdọtun isọdọtun (fun apẹẹrẹ, awọn ilana ilana submodule "hippo" ati "hippo/hooks" ti wa ni gbe bi ".git/modules/hippo/" ati ".git/modules/hippo/hooks/", ati awọn hooks liana ni erinmi le ṣee lo lọtọ lati gbalejo jeki ìkọ.

A gba awọn olumulo Windows nimọran lati ṣe imudojuiwọn ẹya Git wọn lẹsẹkẹsẹ, ati lati yago fun didi awọn ibi ipamọ ti a ko rii daju titi di imudojuiwọn naa. Ti ko ba ṣee ṣe lati ṣe imudojuiwọn ẹya Git ni iyara, lẹhinna lati dinku eewu ikọlu, o gba ọ niyanju lati ma ṣiṣẹ “git clone —recurse-submodules” ati “imudojuiwọn git submodule” pẹlu awọn ibi ipamọ ti a ko ṣayẹwo, kii ṣe lati lo “git gbe wọle ni kiakia” pẹlu awọn ṣiṣan titẹ sii ti a ko ṣayẹwo, ati pe kii ṣe si awọn ibi ipamọ oniye si awọn ipin ti o da lori NTFS.

Fun aabo ti a fikun, awọn idasilẹ titun tun ni idinamọ lilo awọn itumọ ti fọọmu "submodule.{name}.update=! pipaṣẹ" ni .gitmodules. Fun awọn pinpin, o le tọpinpin itusilẹ ti awọn imudojuiwọn package lori awọn oju-iwe naa Debian,Ubuntu, RHEL, SUSE/ṣiiSUSE, Fedora, to dara, ALT, FreeBSD.

orisun: opennet.ru

Fi ọrọìwòye kun