Новости Git латает дыры: сразу 5 исправлений делает работу с репозиториями безопаснее

[NewsMaker]

С обновлением до версии 2.45.1 рекомендуется не затягивать.

---

---

14 мая 2024 года Для просмотра ссылки Войди или Зарегистрируйся — v2.45.1, Для просмотра ссылки Войди или Зарегистрируйся Это обновление затрагивает все основные платформы: Windows, macOS, Linux и BSD.

В GitHub Desktop и Visual Studio, которые включают компоненты Git, также Для просмотра ссылки Войди или Зарегистрируйся Исправленные уязвимости включают:

1. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS 9.1). Репозитории с подмодулями могут заставить Git выполнять команды из директории «.git/» во время клонирования, что может привести к удалённому выполнению кода.
2. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS 8.2). Злоумышленник может создать локальный репозиторий и использовать его для выполнения произвольного кода при клонировании.
3. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS 7.4). Клонирование из ZIP-файлов, содержащих Git-репозитории, может обойти существующие защиты, потенциально выполняя небезопасные скрипты.
4. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS 3.9). Локальные клоны на одном диске могут позволить недоверенным пользователям изменять файлы в базе данных объектов клонированного репозитория.
5. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS 3.9). Клонирование локального репозитория с символическими ссылками может привести к созданию жёстких ссылок на произвольные файлы в директории «objects/».

Обновление до последней версии необходимо для защиты от вышеописанных уязвимостей. Если обновление по какой-то причине невозможно, следует проявлять особую осторожность при клонировании репозиториев из ненадёжных источников.

Улучшение безопасности при клонировании Git-репозиториев стало главной повесткой последних обновлений. Git стремится сделать клонирование безопасным, даже для ненадёжных репозиториев, и теперь эта возможность подробно задокументирована.

Команда разработчиков также добавила ряд защитных мер для уменьшения вероятности подобных уязвимостей в будущем. Включены улучшения для защиты от удалённого выполнения кода и более безопасного выполнения скриптов.

Своевременное обновление до последней версий крайне важно для предотвращения возможных атак на цепочку поставок и выполнения нежелательного кода.