Que faire face à une récente vulnérabilité d'exécution de code à distance dans git (sur El Capitan)

Si vous utilisez Homebrew, c'est assez facile :

brew upgrade git
which git
=> /usr/local/bin/git
git --version
=> git version 2.7.3

C'est fait.

Brew ne fonctionne jamais pour remplacer ou corriger une version du système d'exploitation - il est consciemment conçu pour ne mettre que des binaires à côté de ceux d'Apple et non à la place de.

Si vous voulez vous assurer qu'aucun programme n'appelle l'outil Apple /usr/bin/git ou vous ne l'appelez pas, alors ces étapes permettront d'atteindre cet objectif de durcissement de vos installations 10.11 :

1. Exécuter Récupération OS X en maintenant la touche Command-R enfoncée pendant le démarrage du Mac.
2. Utilisez le menu Utilitaires pour exécuter Terminal
3. csrutil disable
4. redémarrer
5. Entrez en mode utilisateur unique en maintenant la touche Commande-S pendant que le Mac redémarre.
6. mount -uw /
7. rm /usr/bin/git
8. arrêt
9. Répétez l'étape de récupération d'OS X et ouvrez Terminal et exécutez csrutil enable
10. redémarrer

A ce stade, le git d'Apple est supprimée.

Recherche d'autres git binaires :

• /Library/Developer/CommandLineTools/usr/bin/git est 2.5.4
• /Applications/Xcode.app/Contents/Developer/usr/bin/git est 2.5.4

Vous ne courez qu'un risque très léger puisque vous n'avez exécuté sans SIP en mode mono-utilisateur que suffisamment longtemps pour supprimer le seul binaire. Vous pouvez également obtenir git 2.7.4 de brew à partir du 18 mars 2016 si vous le souhaitez :

brew install git
git --version

Vous devrez surveiller toutes les mises à jour d'OS X pour vous assurer qu'elles ne font pas apparaître une autre copie de git qui est patché plus bas que vous ne le souhaitez. Pour la plupart des gens, je m'attacherais à ne me connecter qu'à des serveurs qui sont patchés et/ou connus pour ne pas être malveillants. Le simple fait d'avoir le git sur place constitue un risque faible selon ma lecture de la situation.

Quelques autres sujets d'intérêt :

• Utiliser Git téléchargé au lieu de Git préinstallé
• Mise à jour de sécurité pour git sur mac
• Comment mettre à jour correctement git sur mac ?

Je n'ai pas de flux de travail dans lequel d'autres outils appellent git, donc je suis prêt à installer simplement une version corrigée et à l'utiliser.

J'ai fait ce qui suit :

• Cloné à partir du Dépôt git officiel
• Installé avec make && make install
• Et j'ai ajouté ~/bin à mon chemin dans .profile

Ça devrait marcher pour moi, je pense.

Quant au fait de n'interagir qu'avec des sources fiables, c'est l'idéal, mais il n'y a aucune excuse pour utiliser un logiciel dont la vulnérabilité est connue. Il existe de nombreux exemples de sources de confiance compromises. Avoir un git clone réellement capable d'exécuter un code arbitraire n'est pas souhaitable à mon avis.