Git 2.38.1 发布，解决安全问题-低调大师

Git 2.38.1 发布，解决安全问题

2022-10-19 358

Git 2.38.1 现已发布，同时发布的还有旧版本的更新，包括 v2.30.6、v2.31.5、v2.32.4、v2.33.5、v2.34.5、v2.35.5、v2.36.3 和 v2.37.4。这些维护版本主要是为了解决新发现的两个安全问题 CVE-2022-39253 和 CVE-2022-39260。

第一个与 --local 克隆优化有关，导致从恶意存储库克隆时，$GIT_DIR 中可能出现任意文件。另一个漏洞是关于传递给 git shell 子命令的命令字符串过长，最终可能导致任意堆写入和远程代码执行。

具体为：

CVE-2022-39253：当依赖 --local 克隆优化时，Git 会在源仓库中解除对符号链接的引用，然后在目标仓库中创建解除引用链接的 hardlinks（或副本）。这可能会导致 surprising behavior，当从恶意软件库克隆时，任意文件都可能会出现在存储库的“$GIT_DIR”中。Git 将不再通过 --local 克隆机制解除对符号链接的引用，而是拒绝克隆在 $GIT_DIR/objects 目录中下存在符号链接的仓库。此外，protocol.file.allow 的值更改为默认为“user”。
CVE-2022-39260：给 git shell 的命令字符串过长可能会导致 split_cmdline() 溢出，当 git shell 被暴露且 $HOME/git-shell-commands 目录存在时，导致任意堆写和远程代码执行。git shell 被教导要拒绝大小超过 4MiB 交互式命令。split_cmdline() 被强化y拒绝大于 2GiB 的输入。

更多详情可查看官方公告。

微信关注我们

原文链接：https://www.oschina.net/news/214213/git-2-38-1-released

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

小诺 Snowy v2.0.4 已发布

Snowy是一款国内首个采用了国产密码算法的前后分离快速开发平台，目前升级了2.0之后，深受国内各地开发者喜爱，同时我们的信心倍增，升级频率大大提高，此次发布的版本为v2.0.4，更多的在于修复已知的bug，同时在readme跟官网文档附上近期筹备已久的视频教程提供给各个小伙伴学习。此次更新主要为以下： 1、【新增】添加动态拖拉角色名称列添加角色底排序底部汇总伪代码 2、【修复】解决 issues 中#I5WF6E:前端页面bug<前端页面bug> 的问题 3、【更新】全局异常处理中数据操作异常打印日志 4、【更新】用户修改头像和签名后端统一压缩大小 5、【更新】数据库关系表中object_id和target_id大小调整为varchar 255 6、【修复】修复issues 中#I5V2YK:oracle版本的bugoracle版本的bug 7、【更新】sql统一导出最新版 8、【更新】用户签名统一压缩大小为100*50 9、【更新】升级druid到1.2.9，新增MSSQL的配置，适配MSSQL 10、【新增】readme新增视频教程地址体验地址：https://...

2022-10-20

418

Docker 20.10.20 现已发布。此版本的 Docker Engine 包含针对 Git 漏洞 (CVE-2022-39253) 的部分缓解措施，并更新了对image:tag@digestimage references 的处理。 Git 漏洞允许恶意制作的 Git 存储库在用作构建 context 时将任意文件系统路径复制到生成的 containers/images 中；这可能发生在守护进程和 API 客户端中，具体取决于使用的版本和工具。此版本和守护程序 API 的其他 consumers 中可用的缓解措施是部分的，仅保护构建 Git URL context（例如git+protocol://）的用户。由于该漏洞仍然可以通过手动运行与子模块交互和签出的 Git 命令来利用，因此用户应立即升级到修补版本的 Git 以防止此漏洞。更多详细信息可从Git 安全漏洞宣布获得。 Client 当使用带有 Git URL 作为build context 的classic Builder 时，为CVE-2022-39253添加了一个缓解措施。 Daemon 更新了对image:tag@...

2022-10-20

432

资源下载

更多资源

Oracle

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Eclipse

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

JDK

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。