Qué hacer con la reciente vulnerabilidad de ejecución remota de código en git (en El Capitan)

Si usas Homebrew es bastante fácil:

brew upgrade git
which git
=> /usr/local/bin/git
git --version
=> git version 2.7.3

Hecho.

Brew nunca funciona para reemplazar o parchear una versión del sistema operativo - está conscientemente diseñado para poner sólo binarios al lado de los de Apple y no en lugar de.

Si quieres asegurarte de que ningún programa llame al programa de Apple /usr/bin/git o no lo llamas, entonces estos pasos lograrán el objetivo de endurecer tus instalaciones de 10.11:

1. Ejecutar Recuperación de OS X manteniendo pulsada la tecla Comando-R mientras se inicia el Mac.
2. Utilice el menú Utilidades para ejecutar Terminal
3. csrutil disable
4. reiniciar
5. Acceda al modo de usuario único manteniendo pulsada la tecla Comando-S mientras el Mac se reinicia.
6. mount -uw /
7. rm /usr/bin/git
8. detener
9. Repita el paso de recuperación de OS X y abra el Terminal y ejecute csrutil enable
10. reiniciar

En este punto, el git de Apple es eliminado.

Buscar otros git binarios:

• /Library/Developer/CommandLineTools/usr/bin/git es 2.5.4
• /Applications/Xcode.app/Contents/Developer/usr/bin/git es 2.5.4

El riesgo es muy leve, ya que sólo se ejecutó sin SIP en modo de usuario único el tiempo suficiente para eliminar el único binario. También puede obtener git 2.7.4 de brew a partir del 18 de marzo de 2016 si lo desea:

brew install git
git --version

Deberá vigilar todas las actualizaciones de OS X para asegurarse de que no aparezca otra copia de git que está parcheado más abajo de lo que deseas. Para la mayoría de la gente, yo me centraría en conectarme sólo a servidores que estén parcheados y/o que se sepa que no son maliciosos. El simple hecho de tener el git sentado allí es un riesgo bajo en mi lectura de la situación.

Algunos otros hilos de interés:

• Utilizar Git descargado en lugar de Git preinstalado
• Actualización de seguridad para git en mac
• ¿Cómo actualizar correctamente git en mac?

No tengo ningún flujo de trabajo en el que otras herramientas llamen a git, así que me parece bien instalar simplemente una versión parcheada y usarla.

Hice lo siguiente:

• Clonado del repo oficial de git
• Instalado con make && make install
• Y he añadido ~/bin a mi ruta de acceso en .profile

Eso debería funcionar bien para mí, creo.

En cuanto a interactuar sólo con fuentes de confianza, claro que es lo ideal, pero no hay excusa para utilizar un software conocido como vulnerable. Hay muchos ejemplos de fuentes de confianza que se ven comprometidas. Tener un git clone realmente capaz de ejecutar código arbitrario es indeseable en mi opinión.