Git-opdatering med løsning af endnu en sårbarhed

Publiceret rettede versioner af det distribuerede system til kildekodehåndtering Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 og 2.17.5, hvor der er rettet ASLR i programmer med setuid-flaget og bestemme adressefordelingen i de indlæste biblioteker gennem manipulation af miljøvariablen LD_PREFER_MAP_32BIT_EXEC. (CVE-2020-11008), som minder om problemet, der blev rettet i sidste uge. Den nye sårbarhed påvirker også "credential.helper"-håndterere og udnyttes ved at sende en specielt formateret URL, der indeholder et linjeskift-tegn, en tom vært eller en udefineret anmodningsskema. Ved behandling af en sådan URL sender credential.helper oplysninger om legitimationsoplysninger, som ikke svarer til den anmodede protokol eller den vært, der tilgås.

I modsætning til det tidligere problem kan angriberen ikke direkte kontrollere den vært, fra hvilken andres legitimationsoplysninger vil blive sendt ved udnyttelse af den nye sårbarhed. Hvilke legitimationsoplysninger der lækkes, afhænger af, hvordan det manglende "host"-parameter behandles i credential.helper. Problemet er, at tomme felter i URL'en fortolkes af mange credential.helper-håndterere som instruktioner om at anvende enhver legitimationsoplysning til den aktuelle anmodning. På den måde kan credential.helper sende legitimationsoplysninger, der er gemt til en anden server, til den server, der er angivet i URL'en for angriberen.

Problemet opstår ved udførelse af operationer såsom "git clone" og "git fetch", men er mest farligt, når det gælder behandling af undermoduler — ved udførelse af "git submodule update" behandles URL'er automatisk, der er angivet i .gitmodules-filen fra depotet. Som en midlertidig løsning for at blokere problemet anbefales er ikke at bruge credential.helper ved tilgange til offentlige depot og ikke anvende "git clone" i "—recurse-submodules"-tilstand med ikke-verificerede registre.

Det, der foreslås i de nye Git-versioner rettelse forhindrer kald af credential.helper for URL'er, der indeholder uacceptable værdier (for eksempel ved at angive tre skråstreger i stedet for to — "http:///host" eller uden protokolschema — "http::ftp.example.com/"). Problemet påvirker håndterere som store (den indbyggede Git-legitimationsopbevaring), cache (den indbyggede cache til indtastede legitimationsoplysninger) og osxkeychain (opbevaringssystem for macOS). Git Credential Manager (opbevaringssystem for Windows) er ikke sårbar.

Man kan følge med i opdateringerne af pakkerne i distributionerne på siderne Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Kilde: opennet.ru