Imudojuiwọn Git pẹlu ailagbara miiran ti o wa titi

Atejade awọn idasilẹ atunṣe ti eto iṣakoso orisun pinpin Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ati 2.17.5, in eyi ti o yọkuro ailagbara (CVE-2020-11008), leti iṣoro, imukuro ni ọsẹ to kọja. Ailagbara tuntun naa tun kan awọn olutọju “credential.helper” ati pe o jẹ ilokulo nigbati o ba npa URL ti a ṣe ni pataki kan ti o ni ohun kikọ laini tuntun ninu, agbalejo sofo, tabi ero ibeere ti ko ni pato. Nigbati o ba n ṣiṣẹ iru URL kan, credential.helper fi alaye ranṣẹ nipa awọn iwe-ẹri ti ko baramu ilana ti o beere tabi alejo gbigba wọle.

Ko dabi iṣoro iṣaaju, nigbati o ba n lo ailagbara titun kan, ikọlu ko le ṣakoso taara agbalejo lati eyiti awọn iwe-ẹri ẹlomiran yoo gbe lọ. Kini awọn iwe-ẹri ti n jo da lori bawo ni a ṣe mu paramita “ogun” ti o padanu ni credential.helper. Ohun pataki ti iṣoro naa ni pe awọn aaye ofo ni URL jẹ itumọ nipasẹ ọpọlọpọ awọn olutọju credential.helper gẹgẹbi awọn ilana lati lo eyikeyi awọn iwe-ẹri si ibeere lọwọlọwọ. Nitorinaa, credential.helper le fi awọn iwe-ẹri ti o fipamọ sori olupin miiran ranṣẹ si olupin ikọlu ti pato ninu URL naa.

Iṣoro naa nwaye nigba ṣiṣe awọn iṣẹ bii "git clone" ati "git fetch", ṣugbọn o lewu julọ nigbati o ba n ṣiṣẹ awọn submodules - nigba ṣiṣe "imudojuiwọn git submodule", awọn URL pato ninu faili .gitmodules lati ibi ipamọ ti wa ni ilọsiwaju laifọwọyi. Bi iṣẹ-ṣiṣe lati dènà iṣoro naa niyanju Maṣe lo credential.helper nigbati o ba n wọle si awọn ibi ipamọ ti gbogbo eniyan ati pe ma ṣe lo “git clone” ni ipo “--recurse-submodules” pẹlu awọn ibi ipamọ ti a ko ṣayẹwo.

Ti a funni ni awọn idasilẹ Git tuntun atunse idilọwọ pipe credential.helper fun URL ti o ni ninu unrepresentable iye (fun apẹẹrẹ, nigbati o ba n ṣalaye awọn idinku mẹta dipo meji - “http:///host” tabi laisi ero ilana ilana - “http:: ftp.example.com/”). Ọrọ naa kan ile itaja (ibi ipamọ ijẹrisi Git ti a ṣe sinu), kaṣe (kaṣe ti a ṣe sinu awọn iwe-ẹri ti a tẹ sii), ati awọn olutọju osxkeychain (ibi ipamọ macOS). Oluṣakoso Ijẹri Git (ibi ipamọ Windows) ko ni fowo kan.

O le tọpinpin itusilẹ ti awọn imudojuiwọn package ni awọn pinpin lori awọn oju-iwe naa Debian, Ubuntu, RHEL, SUSE/ṣiiSUSE, Fedora, to dara, ALT, FreeBSD.

orisun: opennet.ru