CVE-2022-39253

Git açıq mənbəli, genişləndirilə bilən və paylanmış reviziya idarəetmə sistemidir. 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 və 2.37.4 versiyalarından əvvəlki versiyalarda həssas məlumatların bədniyyətli aktorlara sızma riski mövcuddur. Lokal klonlama yerinə yetirilərkən (klonlamanın mənbəyi və hədəfi eyni diskdə olduqda), Git mənbənin `$GIT_DIR/objects` kataloqunun məzmununu ya mənbə məzmununa hardlinklər yaradaraq, ya da onları kopyalayaraq (`--no-hardlinks` vasitəsilə hardlinklər söndürüldükdə) hədəfə köçürür. Bədniyyətli bir aktor qurbanı, qurbanın maşınındakı həssas məlumatlara yönəlmiş simvolik linki olan repozitoriyanı klonlamağa razı edə bilər. Bu, ya qurbana eyni maşında zərərli repozitoriyanı klonlatmaqla, ya da hər hansı mənbədən submodul vasitəsilə bare repozitoriya kimi daxil edilmiş zərərli repozitoriyanı `--recurse-submodules` seçimi ilə klonlatmaqla həyata keçirilə bilər. Git `$GIT_DIR/objects` kataloqunda simvolik linklər yaratmır. Problem 2022-10-18 tarixində dərc edilən versiyalarda düzəldilmiş və v2.30.x versiyasına tətbiq edilmişdir. Potensial alternativ həll yolları: Paylaşılan maşında olduğunuz zaman etibarsız repozitoriyaları `--local` optimallaşdırmasından istifadə edərək klonlamaqdan qaçının; bunun üçün `git clone` əmrinə `--no-local` seçimini əlavə edin və ya `file://` sxemindən istifadə edən URL-dən klonlayın. Alternativ olaraq, etibarsız mənbələrdən `--recurse-submodules` ilə repozitoriyaların klonlanmasından qaçının və ya `git config --global protocol.file.allow user` əmrini işə salın.