Bezpečnostní chyba CVE-2018-17456 v Gitu

Byly zveřejněny informace o bezpečnostní chybě CVE-2018-17456 v Gitu. U projektů klonovaných s volbou --recurse-submodules mohl útočník vzdáleně spustit libovolný kód. Chyba byla opravena ve verzích 2.14.5, 2.15.3, 2.16.5, 2.17.2, 2.18.1 a 2.19.1.

5.10.2018 23:55 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[laguru]

Eh? To je znamy snad pul roku ne? A ano je to jedna z tech stale neopravenych znamych bezpecnostnich der v runtimes ve fakepaku, tak si to uzite jestli pouzivate treba sublime z fakepaku.

[laguru]

Ahaaa, tak to se omlouvam, to je dalsi chyba v --recurse-submodules:

When running "git clone --recurse-submodules", Git parses the supplied .gitmodules file for a URL field and blindly passes it as an argument to a "git clone" subprocess. If the URL field is set to a string that begins with a dash, this "git clone" subprocess interprets the URL as an option. This can lead to executing an arbitrary script shipped in the superproject as the user who ran "git clone".

To nezupdatuji ve fakepaku snad dalsiho pulroku . Teda pokud to tady necte nekdo z RH a neprikaze zupdatovat, a pokud by mel git stejny pristup k ABI jako gnome, tak jim ten update rozbije aplikace co ten runtime pouzivaji ... a uz jim dojde ze vlastne jen vytvoril dalsi distribuci (ale za zadnou cenu to verejne nepriznaji) ...