Что удивительно, там не buffer overflow.

веб-интерфейс для работы с git репозиториями

А зачем? Есть разработчики, которые не осилили консоль?

Делать ЯВУ исходя из удобства для мартышек

Одновременно игнорируя что они могут натворить и оставляя им для этого целое минное поле

Это для удалённых, а не локальных репозиториев.

Типа наглядно мониторить активность? Ибо push, pull, clone, fetch и тд нормально делаются из консоли.

Ну да, посмотреть состояние репозитория без клонирования или дать ссылку на какой-то файл/коммит.

веб-интерфейс не нужен, консоль наше все!

Ок, даю добро) пусть живёт)

Во всю goto используют...

+ if (!ctx.qry.path)

+ goto err;

Там дело не в этом. Там просто путь не санитируют. Типа какой дали, такой и пихаю в sendfile().

Поэтому всё, доступное снаружи, должно запускаться с минимальными правами в изолированном бдсм-окружении.

веб-интерфейс, написанный на C

решето, уязвимость

новостью стало бы, если бы он не был решетом

С тут абсолютно не при чём, проблема в архитектуре.

проблема в архитектуре

ну да, автор слишком увлекся ручным управлением памятью, и не заметил

Ну и где здесь ручное управление памятью?

void cgit_clone_objects(void)
{
    if (!ctx.qry.path) {
        cgit_print_error_page(400, "Bad request", "Bad request");
        return;
    }

    if (!strcmp(ctx.qry.path, "info/packs")) {
        print_pack_info();
        return;
    }

    send_file(git_path("objects/%s", ctx.qry.path));
}

Во всю goto используют...

А в чем проблема? Goto — это нормально.

А причём тут управление памятью? Это логическая уязвимость, от неё не спастись даже в том случае, если ты на Haskell напишешь, и coq'ом верифицируешь.

В ядре тоже. Это норма.

    CC ../scan-tree.o
../scan-tree.c:13:20: fatal error: config.h: No such file or directory
compilation terminated.
../cgit.mk:130: recipe for target '../scan-tree.o' failed

Это после git checkout v1.2.1. Это норма?

В арчик уже завезли, вау.

А, это просто слоуновость.

ппц, вот это лоховская уязвимость! не узнаю свой ЛОР, где вой? да забросать какахами этих школоло-разработчиков мало после такой детской уязвимости!

и это учит нас не тому, что приложения надо запускать в изолированном окружении, что и так было понятно отродясь, а это учит нас тому, что надо писать СВОЁ. чужому говнокоду вообще доверия быть не может, если по итогу оно будет доступно удалённо.

приложения надо запускать в изолированном окружении

Изолированное окружение может оказаться не таким уж изолированным;)

Ничего себе. Десять лет висела...Что-то не верится, что никто не пострадал.

Что удивительно, там не buffer overflow.

а разница? разрабы так сильно волновались за буферах и указателях, что забыли очевидные вещи..

вроде как /etc/passwd не приватный файл и показывать его всему миру не должно быть стыдно

/etc/shadow-

И эти люди делают next-generation secure VPN.

Любители goto такие любители. Вместо того чтобы оформить проверку содержимого в виде отдельной функции мы пихачим все как есть. Да, кстати, а если вместо '.' писать '\.' данный фикс это поймает?

а он в норме не читаемый для всех, а cgit от рута ССЗБ разве что запустит

Да, теперь дошло, поймает :)

а разница? разрабы так сильно волновались за буферах и указателях, что забыли очевидные вещи..

С другой стороны, если cgit имеет доступ к /etc/shadow — это совсем треш.

Возможно, уровень культуры у сисадминов нынче такой, что не запускают веб-приложения от рута?

Возможно, уровень культуры у сисадминов нынче такой, что не запускают веб-приложения от рута?

В docker всё от root по дефолту, а useradd делать лень.

В докер и ssh не нужно делать.

Анонимус неодобряет

Зэндбоксить надо. Хотя бы чрутом.

была доступна для эксплуатации на протяжении 10 лет.

Что ещё раз доказывает, что ужас перед «уязвимостями» обычно преувеличен для создания эффекта. Могли бы просто на это забить и ещё 10 лет всем было бы пофигу.

НУ И РЕШЕТО

В C без goto никак. Такой уж язык...

CGit — быстрый веб-интерфейс для работы с git репозиториями, написанный на C.

Блин, я думал что это реализация Git на Си. Давно такое ищу, но видимо никто такое делать не хочет.

autoconf ?:)

Блин, я думал что это реализация Git на Си

а что, есть какая-то ещё другая

Блин, я думал что это реализация Git на Си. Давно такое ищу, но видимо никто такое делать не хочет.

По секрету скажу, Торвальдс еще в 2005 написал, но ты никому не говори.

Там вроде на голых Makefile всё

Блин, я думал что это реализация Git на Си
а что, есть какая-то ещё другая

Так он же без perl и curl нежизнеспособен. Я имею в виду полный функционал без сторонних подпорок.

А libgit2?

А вот этого я не знаю, надо посмотреть.