CVE-2022-39253

Git; açık kaynaklı, ölçeklenebilir ve dağıtık bir revizyon kontrol sistemidir. 2.30.6, 2.31.5, 2.32.4, 2.33.5, 2.34.5, 2.35.5, 2.36.3 ve 2.37.4 öncesindeki sürümler, hassas bilgilerin kötü niyetli bir aktöre ifşa edilmesi riskine tabidir. Yerel bir klonlama işlemi gerçekleştirildiğinde (klonlamanın kaynağı ve hedefinin aynı birimde olduğu durumlar), Git, kaynağın `$GIT_DIR/objects` dizini içeriğini ya kaynak içeriklere hardlinkler oluşturarak ya da bunları kopyalayarak (eğer hardlinkler `--no-hardlinks` ile devre dışı bırakılmışsa) hedefe kopyalar. Kötü niyetli bir aktör, mağduru, makinesindeki hassas bilgilere işaret eden sembolik bir bağlantı içeren bir depoyu klonlamaya ikna edebilir. Bu işlem, mağdurun aynı makinedeki kötü niyetli bir depoyu klonlamasıyla veya herhangi bir kaynaktan bir alt modül aracılığıyla gömülü olan çıplak (bare) bir kötü niyetli depoyu `--recurse-submodules` seçeneğiyle klonlamasıyla gerçekleştirilebilir. Git, `$GIT_DIR/objects` dizininde sembolik bağlantılar oluşturmaz. Sorun, 2022-10-18 tarihinde yayınlanan sürümlerde düzeltilmiş ve v2.30.x sürümüne geri port edilmiştir. Potansiyel geçici çözümler: Paylaşılan bir makinedeyken güvenilmeyen depoları `--local` optimizasyonunu kullanarak klonlamaktan kaçının; bunu `git clone` komutuna `--no-local` seçeneğini ekleyerek veya `file://` şemasını kullanan bir URL üzerinden klonlayarak yapabilirsiniz. Alternatif olarak, güvenilmeyen kaynaklardan `--recurse-submodules` ile depo klonlamaktan kaçının veya `git config --global protocol.file.allow user` komutunu çalıştırın.