διορθωτικές εκδόσεις του συστήματος ελέγχου κατανεμημένης πηγής Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 και 2.17.5, σε που εξάλειψε (), θυμίζει , αποκλείστηκε την περασμένη εβδομάδα. Η νέα ευπάθεια επηρεάζει επίσης τους χειριστές "credential.helper" και γίνεται αντικείμενο εκμετάλλευσης κατά τη μετάδοση μιας ειδικά διαμορφωμένης διεύθυνσης URL που περιέχει έναν χαρακτήρα νέας γραμμής, έναν κενό κεντρικό υπολογιστή ή ένα απροσδιόριστο σχήμα αιτημάτων. Κατά την επεξεργασία μιας τέτοιας διεύθυνσης URL, το credential.helper αποστέλλει πληροφορίες σχετικά με διαπιστευτήρια που δεν ταιριάζουν με το πρωτόκολλο που ζητήσατε ή με τον κεντρικό υπολογιστή στον οποίο έχετε πρόσβαση.
Σε αντίθεση με το προηγούμενο πρόβλημα, κατά την εκμετάλλευση μιας νέας ευπάθειας, ο εισβολέας δεν μπορεί να ελέγξει απευθείας τον κεντρικό υπολογιστή από τον οποίο θα μεταφερθούν τα διαπιστευτήρια κάποιου άλλου. Ποια διαπιστευτήρια διαρρέουν εξαρτάται από τον τρόπο χειρισμού της παραμέτρου "host" που λείπει στο credential.helper. Ο πυρήνας του προβλήματος είναι ότι τα κενά πεδία στη διεύθυνση URL ερμηνεύονται από πολλούς χειριστές credential.helper ως οδηγίες για την εφαρμογή τυχόν διαπιστευτηρίων στο τρέχον αίτημα. Έτσι, το credential.helper μπορεί να στείλει διαπιστευτήρια που είναι αποθηκευμένα για άλλο διακομιστή στον διακομιστή του εισβολέα που καθορίζεται στη διεύθυνση URL.
Το πρόβλημα παρουσιάζεται κατά την εκτέλεση λειτουργιών όπως "git clone" και "git fetch", αλλά είναι πιο επικίνδυνο κατά την επεξεργασία υπομονάδων - όταν εκτελείται "git submodule update", οι διευθύνσεις URL που καθορίζονται στο αρχείο .gitmodules από το χώρο αποθήκευσης υποβάλλονται σε αυτόματη επεξεργασία. Ως λύση για τον αποκλεισμό του προβλήματος Μην χρησιμοποιείτε το credential.helper κατά την πρόσβαση σε δημόσια αποθετήρια και μην χρησιμοποιείτε το "git clone" στη λειτουργία "--recurse-submodules" με μη επιλεγμένα αποθετήρια.
Προσφέρεται σε νέες εκδόσεις Git αποτρέπει την κλήση του credential.helper για διευθύνσεις URL που περιέχουν (για παράδειγμα, όταν καθορίζετε τρεις κάθετες αντί για δύο - "http:///host" ή χωρίς σχήμα πρωτοκόλλου - "http::ftp.example.com/"). Το ζήτημα επηρεάζει τους χειριστές αποθήκευσης (ενσωματωμένος χώρος αποθήκευσης διαπιστευτηρίων Git), κρυφής μνήμης (ενσωματωμένη κρυφή μνήμη εισαγόμενων διαπιστευτηρίων) και osxkeychain (αποθηκευτικός χώρος macOS). Ο χειριστής Git Credential Manager (αποθήκη Windows) δεν επηρεάζεται.
Μπορείτε να παρακολουθείτε την κυκλοφορία των ενημερώσεων πακέτων σε διανομές στις σελίδες , , , , , , , .
Πηγή: opennet.ru