коригиращи версии на разпределената система за управление на основни текстове Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 и 2.17.4, в които е отстранено () в обработчика „“, довеждаща до изпращане на удостоверителни данни не на правилния хост при достъп до репозитория от git клиента чрез специално форматиран URL, съдържащ символ за нов ред. Уязвимостта може да се използва за организиране на изпращане на сървър, контролиран от нападателя, удостоверителни данни от друг хост.
При посочване на URL от вида «https://evil.com?host=github.com/», обработчик на данните за удостоверяване при свързване с хоста evil.com ще предаде параметрите за удостоверяване, зададени за github.com. Проблемът се проявява при изпълнение на операции като «git clone», включително при обработка на URL за субмодули (например, при извършване на «git submodule update» автоматично ще бъдат обработени URL, зададени в .gitmodules файла на репозитория). Най-голяма опасност представлява уязвимостта в ситуации, когато разработчикът клонира репозиторий, без да вижда URL, например при работа със субмодули или в системи, които извършват автоматични действия, като скриптове за изграждане на пакети.
За блокиране на уязвимостта в новите версии передаване на символа за нов ред в каквито и да било стойности, предавани чрез протокола за удостоверяване. За дистрибутиви можете да проследите освобождаването на актуализации на пакетите на страниците , , , , , , .
Като обходен път за блокиране на проблема не използвайте credential.helper при достъп до публични репозитори и не прилагайте «git clone» в режим «—recurse-submodules» с неподтверждени репозитори. За напълно деактивиране на credential.helper, който извършва и извличане на пароли от , защитен или файл с пароли, може да се използват командите:
git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper
Източник: opennet.ru
