Aktualizace Git s odstraněním zranitelností

Byly vydány opravené verze distribuovaného systému správy verzí Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 a 2.48.1, které opravují dvě zranitelnosti:

• CVE-2024-50349 — možnost podstrčení informací v interaktivním dotazu na heslo k repozitáři. Problém je způsoben nedostatečnou kontrolou názvu hostitele, kdy bylo možné kódování znaků ve formátu %xx (URL Encoding). Útočník mohl využít procentuálního kódování k přidání escape sekvencí do názvu hostitele, což manipulovalo výstup na terminál.

  Tímto způsobem lze změnit text výzvy k autentizaci a vytvořit dojem, že se uživatel obrací na jiný repozitář, což může vést k tomu, že při přístupu k repozitáři útočníka uživatel zadá přihlašovací jméno a heslo pro jiný host. Útok může být proveden při provádění rekurzivního klonování submodulů příkazem „git clone —recurse-submodules“, přičemž jeden z submodulů může požádat o heslo pro jiný host, ale vstup bude odeslán na hostitele s repozitářem útočníka.

• CVE-2024-52006 — v implementaci protokolu „credential helper“, používaného k přenosu pověření při přístupu k repozitářům s omezeným přístupem, byla odhalena nedostatečnost, která umožňuje podstrčení dat s návratovým znakem prostřednictvím speciálně vytvořeného URL. Jelikož protokol manipuluje po řádcích, může být přidání návratového znaku použito pro rozdělení bloků dat a organizaci přenosu hesla na nesprávný. serverMožnost provedení útoku závisí na interpretaci návratového znaku jako oddělovače řádku v různých implementacích protokolu „credential helper“. Například je tímto problémem ohrožen Git Credential Manager, napsaný v C#/.NET.

Uživatelům, kteří nemají možnost aktualizovat Git, se doporučuje vyhnout se přístupu k neověřeným externím repozitářům pomocí příkazu „git clone“ s příznakem „—recurse-submodules“, a také vyloučit použití správců pověření při klonování veřejných repozitářů. Kromě samotného Gitu byla vydána oprava blokující tato zranitelnosti pro GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) a Git Credential Manager (CVE-2024-50338).

Zdroj: opennet.ru