В Git и Mercurial устранена критическая уязвимость, проявляющаяся в Windows и OS X

19.12.2014 08:16

Опубликованы внеплановые корректирующие выпуски распределенной системы управления исходными текстами Git 1.8.5.6, 1.9.5, 2.0.5, 2.1.4 и 2.2.1, в которых устранена критическая уязвимость (CVE-2014-9390), способная привести к выполнению кода при обращении к репозиторию, в который злоумышленником совершён специально оформленный коммит. Одновременно выпущено обновление MSysGit 1.9.5 (порт Git для Windows), а также библиотек libgit2 0.21.3 и JGit 3.5.3.201412180710-r, которые подвержены уязвимости. Наличие уязвимости также подтверждено в системе управления версиями Mercurial (hg) и исправлено в выпуске 3.2.3.

Проблема проявляется в Git, Mercurial и Git/Mercurial-совместимых клиентах только на платформах с файловыми системами, не различающими регистр символов или проводящими нормализацию регистра в именах файлов. В частности, проблема проявляется в Windows (NTFS, FAT) и OS X (HFS+), использующих регистронезависимые пути. Unix-подобные системы уязвимости не подвержены. Разработчики GitHub добавили защиту от создания проблемных имён файлов и до публичного обнародования информации об уязвимости выполнили проверку имеющихся репозиториев, которая не выявила попыток эксплуатации уязвимости.

Суть проблемы сводится к тому, что атакующий, имеющий возможность внесения изменений в репозиторий, может произвести коммит, включающий директорию с названием наподобие ".Git", которая при записи в файловую систему не чувствительную к регистру будет эквивалентна директории ".git", содержащей конфигурационные данные Git. Это позволяет атакующему заменить конфигурацию git (".git/config") на произвольные данные и организовать выполнение произвольного кода. Кроме того, отмечается, что к маппингу в строку ".git" в случае Windows и OS X могут приводить и некоторые иные последовательности символов (например, "git~1/config" или ".g\\u200cit/config"), которые в результате выполнения нормализации имени будут автоматически преобразованы файловой системой (в ".git/config").

исправить +11 +/–

Автор новости: Аноним

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/41300-git

Ключевые слова: git

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (76)

1.1, nc (ok), 09:34, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+11 +/–
красивая уязвимость:)

2.41, Аноним (-), 17:01, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
Таким дырам сто лет в обед. Уж поимение виндовых серверов через маппинг в 8.3 это вообще классика жанра - если ACL на полное имя админ поставить допрет, то вот запретить серверу отдавать то же самое но в формате 8.3 лох-админы в 50% случаев разумеется забывают, или (зеленые нубы) просто не догадываются что файлуха в винде такую подставу вообще может отколоть.

1.2, Zenitarka (?), 09:36, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+29 +/–
> проявляющаяся в Windows и OS X Можно было и не исправлять!

2.6, Аноним (-), 11:00, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Фанатиков нигде не любят.

3.34, Аноним (-), 16:36, 19/12/2014 [^] [^^] [^^^] [ответить]	+3 +/–
А где любят домохозяек и геев притворяющихся компьютерщиками?

4.48, RomanCh (ok), 17:07, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
В США и европах :)

1.3, Аноним (-), 10:34, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+4 +/–
а нефиг хостить на винде

2.10, Аноним (-), 12:13, 19/12/2014 [^] [^^] [^^^] [ответить]	+2 +/–
Хостить где угодно может - проявляется при коммите в вантузах.

3.27, EHLO (?), 14:56, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Проявляется на вантузах при фетче и чекаутах. Линукс не подвержен никак.

2.43, Аноним (-), 17:03, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
> а нефиг хостить на винде Так клиентов тоже пробирает - в конфиг много чего интересного можно дописать. Ну там ssh helper какой-нибудь особо правильный :). Типа запуска сетевого шелла для хацкера.

1.4, анонимус (??), 10:36, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Вот к чему приводят искусственные ограничения, в том числе на имена файлов.

2.8, тоже Аноним (ok), 11:50, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Это не ограничения, это legacy-костыли. Они никогда ни к чему хорошему не приводили.

3.9, commiethebeastie (ok), 12:03, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Зачем их притащили на MACOS 10, если она изначально была регистрозависимая?

4.14, Kodir (ok), 12:52, 19/12/2014 [^] [^^] [^^^] [ответить]	–13 +/–
Строго говоря, "регистрозависимость" - тупо фишки компьютера, где "а" и "А" - разные вещи. Людям неважен регистр, так что "ФС без регистра" - вполне однозначное решение.

5.16, Аноним (-), 13:09, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
> Людям неважен регистр Это каким людям?

6.21, Аноним (-), 13:24, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
Взрощенным на DOS и всего, что от неё идеологически унаследовало.

6.24, Kodir (ok), 13:50, 19/12/2014 [^] [^^] [^^^] [ответить]	–10 +/–
>> Людям неважен регистр > Это каким людям? Очевидно же - нормальным, про вас речи не идёт.

7.26, ZloySergant (ok), 13:52, 19/12/2014 [^] [^^] [^^^] [ответить]	+3 +/–
>Очевидно же - нормальным, про вас речи не идёт. Слава кому-то там, я - уже девиантен, и к быдлонорме не отношусь.

7.46, Аноним (-), 17:06, 19/12/2014 [^] [^^] [^^^] [ответить]

+2 +/–

> Очевидно же - нормальным, про вас речи не идёт.

Если нормальные - это те 95%, которые пускают пузыри - очень хорошо что я в их число не попал.

5.29, Анонимоус (?), 15:28, 19/12/2014 [^] [^^] [^^^] [ответить]	–2 +/–
и вообще, этот ваш git - тупо фишки компьютера. Людям он неважен, т.к. несъедобен.

6.72, Куяврег (?), 16:25, 21/12/2014 [^] [^^] [^^^] [ответить]	+/–
некоторые не встретили тега <сарказм> и заминусовали

5.30, Аноним (-), 15:40, 19/12/2014 [^] [^^] [^^^] [ответить]	+3 +/–
В разных языках свое понятие о верхнем/нижнем регистре. Турецкое "и" и немецкий эсцет — два наиболее ярких примера.

6.32, клоун СтаканчикЪ (?), 16:31, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Клоун говорит: "Речь не о том, как преобразуется нижний регистр к верхнему, а о том, насколько регистрозависимость полезна или вредна при работе с компьютером. Вам позвонили и сказали что файл называется 'логистика', как это пишется с учётом регистра? Насколько удобно видеть в одной папке файлы 'Логистика', 'лОгистика', 'ЛОгистика' и т.д.? Регистрозависимость проще для компьютера, но нужна ли она людям? Клоунам Стаканчикам она точно не нужна."

7.37, fi (ok), 16:44, 19/12/2014 [^] [^^] [^^^] [ответить]

+/–

сразу видно человека из эпохи MSDOS :)))

"позвонили", "файл" да еще и с названием :))))

Сегодня: пришло сообщение, next step: "открыть?" , если да - стартует определенное приложение и всё - где тут имя файла??????????

зы. ну с другой стороны - что ожидать от убогого?

8.39, клоун СтаканчикЪ (?), 16:51, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
Клоун говорит если всё так, как вы говорите, то имена файлам вообще не нужны ... текст свёрнут, показать

9.47, Аноним (-), 17:07, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
У клоуна ник какой-то левый - лох этот клоун ... текст свёрнут, показать

7.73, Куяврег (?), 16:40, 21/12/2014 [^] [^^] [^^^] [ответить]

+/–

> Насколько удобно видеть в одной папке файлы 'Логистика', 'лОгистика', 'ЛОгистика' и т.д.?

Да чего уж там, договаривай. Там же Логистика, Логистика1, логистика,лолистика, логистика_ и ещё несколько вариантов в разных "подпапках", ещё варианты с пробелами в именах, с удвоенным расширением, а нормальное расширение скрыто, поэтому количество вариантов ещё увеличится. Решается неистовым кликаньем по всем подряд файлам. Только непонятно что в таком бардаке изменит case sensitive.

ЗЫ. Вменяемые люди документам дают название, позволяющее его однозначно идентифицировать без просмотра содержимого (хотя оно всё равно будет, так уж устроены вменяемые люди). Идиотам с названием файла "логистика" case что sensitive, что insensitive, всё боль и страдания.

5.33, userd (ok), 16:32, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
О, вы за всех людей готовы говорить? И вы всерьёз считаете, что записать одно, а прочитать другое - это хорошая практика? Давайте обсудим пробелы в именах файлов. Как вы считаете - "Пример документа" (с одним пробелом) и "Пример документа" (с двумя пробелами) должны считаться идентичными?

6.38, клоун СтаканчикЪ (?), 16:47, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Клоун говорит: "техника работает для людей или люди работают для техники? Для сложной или дорогой техники ответ очевиден - люди стелятся под технику и выполняют все её, пусть даже самые неудобные и безумные, требования. Но для повседневно используемой массовой (= дешёвой) техники обратно: техника делает так, как удобно людям и клоунам. Компьютер знает, что в клоунских сутках 3600 секунд, в клоунских месяцах от 29 до 31 дня, в клоунском году 12 месяцев, и нужен (или не нужен) перевод часов два раза в год в определённые (и ежегодно меняющиеся) даты - знает и учитывает это, как бы это ни было для него неудобно. И отсюда явно видно насколько далёк Линукс от того, чтобы быть (а не казаться) массовым продуктом. Линукс - удел гиков, стесняющихся работодателей и девочек, но готовых отсасывать программам и их авторам."

7.42, тоже Аноним (ok), 17:02, 19/12/2014 [^] [^^] [^^^] [ответить]	+2 +/–
Придерживайтесь формата 8.3 в своих постах, пожалуйста. Для людей.

8.49, Аноним (-), 17:08, 19/12/2014 [^] [^^] [^^^] [ответить]	+2 +/–
Да, пусть ник сократит Клоу 1 Ста - ну и хватит ... текст свёрнут, показать

9.74, Куяврег (?), 16:41, 21/12/2014 [^] [^^] [^^^] [ответить]	+/–
я чуть чаем не поперхнулся нельзя же так ... текст свёрнут, показать

8.51, клоун СтаканчикЪ (?), 17:10, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Клоун говорит Вы не заметили, но уже очень давно в регистронезависимых FAT и N... текст свёрнут, показать

9.56, Аноним (-), 17:16, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Конечно, хакерам очень удобно потом тащить у виндолохов файлы через обход ограни... текст свёрнут, показать

10.57, клоун СтаканчикЪ (?), 17:23, 19/12/2014 [^] [^^] [^^^] [ответить]	–2 +/–
Клоун говорит Вы хотите сказать, что используете для защиты сервера программы,... текст свёрнут, показать

11.69, Аноним (-), 14:28, 21/12/2014 [^] [^^] [^^^] [ответить]	+/–
Так я и пользуюсь на своих серваках линем и нжинксом Ни вам западла с именами, ... текст свёрнут, показать

7.62, userd (ok), 18:36, 19/12/2014 [^] [^^] [^^^] [ответить]	+2 +/–
Клоун говорит, но на прямо поставленный вопрос про пробелы не отвечает. Наверное догадывается, что по этому параметру поведение винды и линукса в основном совпадают.

7.63, Алексей (??), 01:14, 20/12/2014 [^] [^^] [^^^] [ответить]	+/–
81400

8.64, Алексей (??), 01:15, 20/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
тьфу, 86400 ... текст свёрнут, показать

5.35, Аноним (-), 16:38, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
> Строго говоря, "регистрозависимость" - тупо фишки компьютера, где "а" и "А" - > разные вещи. Людям неважен регистр Что же ты предложение с заглавной начинаешь если это "тупо фишки компьютера"?

6.40, клоун СтаканчикЪ (?), 16:54, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Клоун говорит: "рудименты языка, такие же как род и число (не только) в русском языке. Они бесполезны, неудобны, но используются для совместимости."

7.50, Аноним (-), 17:09, 19/12/2014 [^] [^^] [^^^] [ответить]	+3 +/–
А, вот зачем у тебя твердый знак. Для совместимости с дореволюционным синтаксисом...

8.60, клоун СтаканчикЪ (?), 17:44, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Один модератор с синдромом вахтёра осознал, что это не я ё-а-ый клоун, а он Не ... текст свёрнут, показать

9.70, Аноним (-), 14:32, 21/12/2014 [^] [^^] [^^^] [ответить]	+/–
Не надо на модераторов бочку катить - незареганый ник зарегал всего лишь пользов... текст свёрнут, показать

4.44, Аноним (-), 17:04, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
> Зачем их притащили на MACOS 10, если она изначально была регистрозависимая? Хотели сделать проще хомякам. Их стало проще иметь...

5.61, Andrey Mitrofanov (?), 17:50, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
>> Зачем их притащили на MACOS 10, если она изначально была регистрозависимая? > Хотели сделать проще хомякам. Их стало проще иметь... Хотели сделать как на винде -- так и вышло.

1.5, Аноним (-), 10:54, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+/–
А что с СВНчиком?! Там тоже .svn есть!

2.45, Аноним (-), 17:04, 19/12/2014 [^] [^^] [^^^] [ответить]

+2 +/–

> А что с СВНчиком?! Там тоже .svn есть!

Ну вот вы и проверьте. Кому это окаменелое в 2014 надо? :)

2.67, all_glory_to_the_hypnotoad (ok), 17:36, 20/12/2014 [^] [^^] [^^^] [ответить]	+/–
должна быть точно такая же проблема. По крайней мере если счекаутить реп на любой убогой ОСи с двумя файлами с одинаковыми именами в разном регистре, то оно не поймёт что случилось и выдаст непонятную ошибку.

1.7, Аноним (-), 11:48, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
А вы спорите какая VCS лучше, а они оказывается во много сопоставимы)))

2.11, Аноним (-), 12:17, 19/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Это когда ими интересуешся, но с ними не работаешь. Когда же работаешь, тогда лучшей обычно оказывается та, которой сам лучше владеешь. Адекватно же сравнить можно только прекрасно владея всеми сравниваемыми vcs'ами. (примета: холивары возникают от недосточного владения).

3.17, Crazy Alex (ok), 13:12, 19/12/2014 [^] [^^] [^^^] [ответить]	+2 +/–
Когда работаешь лучшей оказывается та, которой владее большинство коллег или которая используется в проекте. Во всяком случае, для DVCS так и есть - не настолько они различаются, чтобы упрямиться. И не настолько часто нужны их "продвинутые" возможности (т.е. всё за пределами простейшей последовательности создания бранчей, коммита и мержа), чтобы они вообще стоили холивара. P.S. Да, это сейчас означает, что лучшая - Git.

1.12, Аноним (-), 12:37, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	–8 +/–
> Linux-подобные системы уязвимости не подвержены В принципе это ось и не нужна.

2.75, Куяврег (?), 16:44, 21/12/2014 [^] [^^] [^^^] [ответить]

+/–

>> Linux-подобные системы уязвимости не подвержены
> В принципе это ось и не нужна.

перевёрнутая с ног на голову аксиоматика. это оказывается не народ массово кормят ховённой ОС, а наоборот - количество ховна в системе прямо пропорционально популярности.

1.13, Kodir (ok), 12:50, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	–10 +/–
> ...произвести коммит, включающий директорию с названием наподобие ".Git" Это ли не лучшее доказательство, что троечник Трольвадс не умеет программировать? Да подобную защиту даже школьники предусматривают! Как можно выпускать продукт с такими дырами?

2.15, Andrey Mitrofanov (?), 13:06, 19/12/2014 [^] [^^] [^^^] [ответить]

+1 +/–

>Да подобную защиту даже школьники предусматривают!

Ну, и програмьте себе на уин-доузах, дорогите троечники.

> Как можно выпускать продукт с такими дырами?

Продукт? Винда? Кто все эти люди...

3.18, Аноним (-), 13:12, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
Тссс... Это же САМ пришел. Щас он нам расскажет, как надо делать.

4.59, Аноним (-), 17:33, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
Не, не расскажет. Его мамка спать загнала. Завтра приходите - вот тогда - да!

2.19, Crazy Alex (ok), 13:17, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
Торвальдс писал под нормальную посиксовскуюи систему. Кто ж виноват, что есть уроды, которые этому самому посиксу не соответствуют? Может, еще под CP/M надо было подгонять?

3.55, Аноним (-), 17:14, 19/12/2014 [^] [^^] [^^^] [ответить]

+2 +/–

> было подгонять?

Еще блин маппинг в 8.3 досявый попросите учитывать. А оно кому-то надо кроме пользователей досявого легаси?

3.76, Куяврег (?), 16:47, 21/12/2014 [^] [^^] [^^^] [ответить]

+/–

> Торвальдс писал под нормальную посиксовскуюи систему. Кто ж виноват, что есть уроды,
> которые этому самому посиксу не соответствуют? Может, еще под CP/M надо
> было подгонять?

С учётом того, что концепция CP/M бодро "спи-жена" гражданином Хейтсом в DOS и в виде легаси тащится до сих пор, таки уже сделали.

2.52, Аноним (-), 17:10, 19/12/2014 [^] [^^] [^^^] [ответить]	+5 +/–
> Это ли не лучшее доказательство, что троечник Трольвадс не умеет программировать? Это доказательство того что он не считает что файлуха должна делать ему подляны. И еще доказаельство того что нормальные програмеры виндой и маком не пользуются.

2.66, Аноним (-), 14:31, 20/12/2014 [^] [^^] [^^^] [ответить]	+/–
а разве Торвальдс занимался портированием git под винду? msysgit хостится отдельно, а libgit2 так вообще майкрософт разрабатывает.

1.20, Аноним (-), 13:21, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	–3 +/–
> Unix-подобные системы уязвимости не подвержены. А OS X типа не Unix-подобная система!

2.22, Аноним (-), 13:29, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Ага, несколько лет назад даже утверждалось, что MacOS X есть именно TrueЪ UNIX и никак иначе.

3.25, ryoken (?), 13:51, 19/12/2014 [^] [^^] [^^^] [ответить]	–2 +/–
> Ага, несколько лет назад даже утверждалось, что MacOS X есть именно TrueЪ > UNIX и никак иначе. Помнится в "ведумостях" писали, что даже сертификацию прошли (купили?)

4.31, Аноним (-), 16:16, 19/12/2014 [^] [^^] [^^^] [ответить]	+/–
>(купили?) а ты знаешь другие способы "сертификаций"?

2.28, EHLO (?), 15:00, 19/12/2014 [^] [^^] [^^^] [ответить]	–2 +/–
>А OS X типа не Unix-подобная система! Просто Unix, без подобная. // Kalambur unintentional.

2.53, Аноним (-), 17:11, 19/12/2014 [^] [^^] [^^^] [ответить]

+/–

> А OS X типа не Unix-подобная система!

Он еще и юникс. Вот такой вот хреновый юникс. С регистронезависимостью аж.

1.23, Аноним (-), 13:35, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	–3 +/–
В os x есть возможность сделать фс регистрозависимой -- это опция. Другое дело что смысла нет.

2.54, Аноним (-), 17:12, 19/12/2014 [^] [^^] [^^^] [ответить]

+2 +/–

> В os x есть возможность сделать фс регистрозависимой -- это опция.

В винде тоже можно в нтфс.

> Другое дело что смысла нет.

Правильно, оставьте как есть. Иначе хакерам будет неудобно устраивать внезапности через имена файлов.

3.58, Аноним (-), 17:23, 19/12/2014 [^] [^^] [^^^] [ответить]	–1 +/–
Ну да, внезапно я буду делать git clone неизвестно чего неизвестно зачем :)

4.65, Crazy Alex (ok), 01:29, 20/12/2014 [^] [^^] [^^^] [ответить]	+1 +/–
Ну, как раз git clone неизвестно чего - это, в общем-то, рядовой случай. Мало ли где код заинтересовавший попался.

4.68, all_glory_to_the_hypnotoad (ok), 17:38, 20/12/2014 [^] [^^] [^^^] [ответить]	+/–
в ОС x? Будешь внезапно делать и не такое. Да и наверняка уже делаешь.

4.71, Аноним (-), 14:37, 21/12/2014 [^] [^^] [^^^] [ответить]

+1 +/–

> Ну да, внезапно я буду делать git clone неизвестно чего неизвестно зачем :)

Ну я не спорю что круто быть телепатом и заранее знать что в репе лежит, до скачки. При таком скилле вам поди и платить за интернет не требуется :)

1.36, Аноним (-), 16:40, 19/12/2014 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Позитивно. Жаль github её закрыли, надеюсь не успевших обновиться поимеют через репозитории на других хостингах. Я лично в свои репы нужные коммиты сделал.

Добавить комментарий

Текст: