Lösning
Uppdatering för Microsoft Visual Studio 2013 (KB3023302)
Hämta uppdateringen för Microsoft Visual Studio 2013 åtgärda ett problem i Valfr.
För Team Foundation Server (TFS) produkter avvisar fix alla push (upload) som innehåller en komponent som fil eller sökväg som matchar den ".git strängen. Detta förhindrar att skadliga filer injektion värd repor.
För Visual Studio-klienten förhindrar korrigeringen att en fil checkas ut till katalogen .git. Detta förhindrar att repor som innehåller felaktiga filer påverkar den lokala användarens dator.
Problem i Valfr
Detta är ett problem som visar över Valfr ekosystem och som inte är unika för Microsoft support för Valfr databaser i vår utvecklingsplattformar. Vi tog dock viktigt, förebyggande åtgärder för att kontrollera att Microsoft-kunder som använder Valfr databaser är skyddade mot problemet.
Problem som påverkar alla klienter som Valfr upptäcktes som sköter underhåll själva för core Valfr. Problemet kan för införsel av en fil till en repo Valfr. Filen är namnet på ett sådant sätt att när en användare hämtar ändringar i en fjärrdatabasen, en särskilt utformad fil gick tyst ersätter användarens config-filen. Användarens config-filen finns utanför databasen. Genom att ersätta filen med en skadad fil, kan Valfr kommandon mappas för att köra godtyckliga kommandon som körs under användarens referenser.
Visual Studio 2013 och Visual Studio TFS 2013 påverkas inte direkt av det här problemet. Visual Studio och TFS kör inte godtyckliga kommandon från .git metadata. Dock orsaka checka ut en repo som innehåller en särskilt utformad fil Visual Studio att skriva över delar av .git metadata, exponera Valfr för Windows kommandoradsverktyg för problemet. TFS har patched proaktivt för att förhindra spridning av problemet.
Orsak
Varje lokal Valfr databasen upprätthålls på en disk i den repo rotmapp i en dold .git katalog. När filerna är checkas ut (till exempel, som finns på den lokala disken efter hämtning), en fil som heter ". VALFR/config"är placerad inuti databasen Valfr. En skiftlägesoberoende jämförelse för ".git är delvis ansvarig för problemet. Dessutom den automatiska hanteringen av sökvägar på Windows-plattformar expanderar påverkas fil mönster till mycket mer än den uttryckligen namngivna ". VALFR/config mönster.
Status
Microsoft har bekräftat att detta är ett problem i Microsoft-produkterna som nämns i avsnittet "Gäller".
