Oprávnění opravy distribuovaného systému správy verzí Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 a 2.17.5, ve kterých byla odstraněna (), připomínající , odstraněnou minulý týden. Nová zranitelnost se také týká procesorů „credential.helper“ a využívá se při dodávání speciálně formátovaného URL, které obsahuje znak nového řádku, prázdný hostitel nebo neuvedenou schéma požadavku. Při zpracování takového URL credential.helper odesílá informace o přihlašovacích údajích, které neodpovídají požadovanému protokolu nebo hostiteli, na který se vztahuje.
Na rozdíl od předchozího problému, při využití nové zranitelnosti útočník nemůže přímo ovládat hostitele, ze kterého budou předány cizí přihlašovací údaje. To, které přihlašovací údaje uniknou, závisí na specifikách zpracování chybějícího parametru „host“ v credential.helper. Podstatou problému je, že prázdná pole v URL jsou mnoha procesory credential.helper interpretována jako pokyny pro aplikaci jakýchkoli přihlašovacích údajů vztahujících se k aktuálnímu požadavku. Tímto způsobem credential.helper může odeslat na server útočníka přihlašovací údaje uložené pro jiný server.
Problém se projevuje při provádění operací jako „git clone“ a „git fetch“, ale nejnebezpečnější je při zpracování submodulů – při provádění „git submodule update“ jsou automaticky zpracovány URL uvedené v souboru .gitmodules z repozitáře. Jako obcházení blokování problému nedoporučuje používat credential.helper při komunikaci s veřejnými repozitáři a nevykonávat „git clone“ v režimu „—recurse-submodules“ s neověřenými repozitáři.
Na nové verze Git zakazuje volání credential.helper pro URL, které obsahují (například při uvedení tří lomítek místo dvou – „http:///host“ nebo bez schémy protokolu – „http::ftp.example.com/“). Problém se týká procesorů store (vestavěné úložiště přihlašovacích údajů Git), cache (vestavěná mezipaměť zadaných přihlašovacích údajů) a osxkeychain (úložiště pro macOS). Procesor Git Credential Manager (úložiště pro Windows) není touto zranitelností postižen.
Sledovat vydání aktualizací balíčků v distribucích lze na stránkách , , , , , , , .
Zdroj: opennet.ru
