Gitweb - bezpečnostní problém

V gitweb (webové rozhraní k git) byl objeven bezpečnostní problém. Podrobnosti zatím nejsou známy (CVE-2010-3906). U některých projektů bylo gitweb rozhraní preventivně zakázáno (Samba).

15.12.2010 14:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Jan Kundrát (jkt)]

Je zajimave, jakymi kanaly ta informace postupuje -- behem vcerejska odstavili gitweb KDE, kde Tom zminuje, ze nasleduji napr. priklad Gentoo, ktere svuj gitweb vypnulo jeste drive. V dobe, kdy blogpost od KDE vysel, byl gitweb od Samby jeste dostupny...

[petr_p]

repo.or.cz byl vcera taky vypnuty, ale rano uz webove rozhranni jelo. V gitu gitu jsem ale zadnou zmenu nenasel. CVE cislo je rezervovane pro Debian, ale jejich system mi zadnou bezpecnosti chybu pro git-gitweb nevratil. Tak tezko rict, co se naslo. Akorat jsem pri pushi pres SSH pozoroval chybovou hlasku, ze selhal nejaky hook.

[Jardík]

Už jsem poslal patch. Chybu opravuje, ale po aplikaci mám nový komp do botnetu

[Ladislav Hagara]

[ANNOUNCE] Git 1.7.3.4, 1.6.6.3 and others

Among many fixes since v1.7.3.3, it contains a fix to a recently discovered XSS vulnerability in Gitweb (CVE 2010-3906).