Dulwich - это реализация форматов и протоколов Git-файлов и протоколов. Начиная с версии 0.1.0 и до версии 1.2.5, клиент с доступом к push …

Dulwich - это реализация форматов и протоколов Git-файлов и протоколов. Начиная с версии 0.1.0 и до версии 1.2.5, клиент с доступом к push может толкать крошечный тонкий пакет (~174 байт), дельта-заголовок которого объявляет огромный dest_size. Когда Dulwich проглотил его через add_thin_pack / применить_delta, он выделил сотни MB памяти на основе этого контролируемого злоумышленником размера, без отношения к фактическим байтам. Операторы, работающие на сервере Git на основе Dulwich, который обнажает git-receive-pack (т.е. принимает толпы) - например, через функциональность dulwich.server, интеллектуального сервера HTTP или что-либо, построенное на ReceivePackHandler - страдают. Выпуск исправлен в 1.2.5. add_thin_pack теперь принимает ключевое слово max_input_size (байты; 0/None = неограниченный, соответствующий семантике git), и ReceivePackHandler читает get.maxInputSize из конфигурации хранилища и пропускает его. Проводные чтения подсчитываются, и исключение PackInputTooLarge повышается после превышения крышки - эквивалентно индексу git-упаковке -max-input-size. Пользователи должны обновиться до Dulwich 1.2.5 или более поздней версии и установить access.maxInputSize в репозитории своего сервера, настраиваемую вменяемость, привязанную к их среде. На непатентованных версиях получение.maxInputSize не имеет эффекта, поэтому его нельзя использовать в качестве обходного процесса. До обновления операторы должны ограничить доступ dulwich-receive-pack (push) только к доверенным, аутентифицированным клиентам или полностью отключить его на серверах, которым необходимо только обслуживать и/или запускать сервер в соответствии с лимитом памяти на уровне ОС (например, ulimit, cgroups/MemoryMax или ограничение памяти контейнера), поэтому вредоносный толчок убивается, а не снимает хост.