严重尽快升级你的Git！宣布Git安全漏洞

　　今天，Git项目发布了新版本，解决了两个安全漏洞。
　　GitHub不受这些漏洞的影响。但是，您应该注意这些问题并升级Git的本地安装，特别是如果您在Windows中使用Git，或者在多用户机器上使用Git。CVE202224765
　　此漏洞会影响在多用户机器上工作的用户，其中恶意参与者可能会在受害者当前工作目录的共享位置上创建。git目录。例如，在Windows上，攻击者可以创建C：。这将导致所有发生在存储库之外的Git调用读取其配置的值。
　　因为一些配置变量（比如core。fsmonitor）会导致Git执行任意命令，所以当在共享机器上工作时，这可能会导致执行任意命令。
　　保护该漏洞的最有效方法是升级到Gitv2。35。2。这个版本改变了Git寻找顶级目录的行为，当它的目录遍历改变了当前用户的所有权时停止。（如果您希望对此行为进行异常处理，可以使用新的多值保险箱。目录配置）。
　　如果你不能立即升级，以下是降低风险的最有效方法：定义环境变量GITCEILINGDIRECTORIES来包含你的用户配置文件的父目录（例如，macOS上的Users，在Linux上使用home，在Windows上使用c：用户）。当当前工作目录不在受信任的存储库中时，避免在多用户机器上运行Git。
　　请注意，许多工具（例如用于Windows安装的GitBash、poshgit和VisualStudio）都在后台运行Git命令。如果您使用的是多用户机器，请避免使用这些工具，直到您使用
　　请注意，许多工具（例如用于Windows安装的GitBash、poshgit和VisualStudio）都在后台运行Git命令。如果您在多用户机器上，请在升级到最新版本之前避免使用这些工具。
　　发现这个漏洞功劳归于俞晨东。CVE202224767
　　这个漏洞会影响GitforWindows卸载程序，它运行在用户的临时目录中。因为SYSTEM用户帐户继承C：WindowsTemp（这是世界可写的）的默认权限，任何通过身份验证的用户都可以放置恶意的。dll文件，这些文件在运行GitforWindows卸载程序时通过SYSTEM帐户运行时被加载。
　　保护该漏洞的最有效方法是升级到Windowsv2。35。2的Git。如果您不能立即升级，请使用以下方法降低风险：避免在升级之前运行卸载程序将SYSTEM用户的TMP环境变量覆盖到只能由SYSTEM用户写入的目录在运行卸载程序之前，从C：WindowsTemp中删除未知的。dll文件在管理员帐户下运行卸载程序而不是作为系统用户
　　发现这个漏洞的功劳归于洛克希德马丁红队。