L'aghjurnamentu di Git cù un'altra vulnerabilità fissata

Publicatu versioni currettive di u sistema di cuntrollu di fonte distribuitu Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 è 2.17.5, in chì hà eliminatu vulnerabilità (CVE-2020-11008), reminiscente prublema, eliminatu a settimana passata. A nova vulnerabilità affetta ancu i gestori di "credential.helper" è hè sfruttata quandu si passa un URL furmatu apposta chì cuntene un caratteru newline, un host viotu, o un schema di dumanda micca specificatu. Quandu si tratta un tali URL, credential.helper manda infurmazioni nantu à e credenziali chì ùn currispondenu micca à u protocolu dumandatu o à l'ospitu chì si accede.

A cuntrariu di u prublema precedente, quandu si sfrutta una nova vulnerabilità, l'attaccante ùn pò micca cuntrullà direttamente l'ospite da quale e credenziali di qualcunu seranu trasferite. Chì credenziali sò filtrati dipende da cumu u paràmetru "ospite" mancante hè trattatu in credential.helper. U core di u prublema hè chì i campi vioti in l'URL sò interpretati da parechji manipulatori credential.helper cum'è struzzioni per applicà qualsiasi credenziali à a dumanda attuale. Cusì, credential.helper pò mandà credenziali guardati per un altru servitore à u servitore di l'attaccante specificatu in l'URL.

U prublema si trova quandu si esegue operazioni cum'è "git clone" è "git fetch", ma hè più periculosa quandu si tratta di submodules - quandu eseguisce "git submodule update", l'URL specificati in u schedariu .gitmodules da u repository sò automaticamente processati. Cum'è una soluzione per bluccà u prublema cunsigliatu Ùn aduprate micca credential.helper quandu accede à i repositori publichi è ùn aduprate micca "git clone" in u modu "--recurse-submodules" cù repositori micca verificati.

Offertu in novi versioni di Git currezzione impedisce chjamà credential.helper per URL chì cuntenenu valori irripresentable (per esempiu, quandu si specificanu trè slash invece di dui - "http:///host" o senza un schema di protokollu - "http::ftp.example.com/"). U prublema affetta u magazinu (almacenamiento di credenziali Git integratu), cache (cache integratu di credenziali inseriti), è i gestori di osxkeychain (almacenamiento macOS). U gestore di Git Credential Manager (repository Windows) ùn hè micca affettatu.

Pudete seguità a liberazione di l'aghjurnamenti di pacchetti in distribuzioni nantu à e pagine Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, bue, ALT, FreeBSD.

Source: opennet.ru