Уязвимост в Git, водеща до изтичане на данни за самоличност

Публикувани коригиращи версии на разпределената система за управление на основни текстове Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 и 2.17.4, в които е отстранено уязвимост (CVE-2020-5260) в обработчика „credential.helper“, довеждаща до изпращане на удостоверителни данни не на правилния хост при достъп до репозитория от git клиента чрез специално форматиран URL, съдържащ символ за нов ред. Уязвимостта може да се използва за организиране на изпращане на сървър, контролиран от нападателя, удостоверителни данни от друг хост.

Когато URL-адресът е от вида «https://evil.com?host=github.com/», обработчикът на данни за удостоверяване при свързване с хоста evil.com ще предаде параметрите за удостоверяване, зададени за github.com. Проблемът се проявява при изпълнение на операции като «git clone», включително при обработка на URL адреси за подмодули (например, при изпълнение на «git submodule update», автоматично ще се обработят URL адресите, зададени в файла .gitmodules от репозитория). Най-голямата опасност от уязвимостта възниква в ситуации, когато разработчикът клонира репозитория, без да вижда URL адреса, например при работа с подмодули или в системи, които извършват автоматизирани действия, като скриптове за събиране на пакети.

За блокиране на уязвимостта в новите версии е забранено передаване на символа за нов ред в каквито и да било стойности, предавани чрез протокола за удостоверяване. За дистрибутиви можете да проследите освобождаването на актуализации на пакетите на страниците Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Като обходен път за блокиране на проблема се препоръчва не използвайте credential.helper при достъп до публични репозитори и не прилагайте «git clone» в режим «—recurse-submodules» с неподтверждени репозитори. За напълно деактивиране на credential.helper, който извършва запазване и извличане на пароли от кеша, защитен съхранение или файл с пароли, може да се използват командите:

git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper

Източник: opennet.ru