Haavatavus Git'is, mis viib kasutajakontode andmete lekitamiseni

Avaldatud korrektuuriväljaanded jaotatud lähtekoodihalduse süsteemis Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ja 2.17.4, milles on kõrvaldatud haavatavus (CVE-2020-5260) töötlejas „credential.helper«, mis toob kaasa autentimisandmete saatmise valele hostile, kui git-klient pöördub hoidla poole erikujundatud URL-i kaudu, mis sisaldab reavahetusmärki. Ründaja kontrolli all oleva serveri suunas saadud autentimisandmeid on võimalik kasutada.

Kui URL on kujul «https://evil.com?host=github.com/», siis edastab evil.com'i majutaja autentimisparameetrid, mis on määratud github.com'ile. Probleem ilmneb selliste toimingute käigus nagu «git clone», sealhulgas alamoodulite URL-ide töötlemisel (näiteks «git submodule update» käitamisel töödeldakse automaatselt URL-e, mis on määratud .gitmodules failis repositooriumist). See haavatavus on kõige ohtlikum olukordades, kus arendaja kloneerib repositooriumi URL-i nägemata, näiteks alamoodulitega töötamisel või automaatsete toimingute süsteemides, näiteks pakettide ehitusskriptides.

Uue versiooni väljaandmiseks on keelatud reavahetusmärgi edastamine igasugustes väärtustes, mis edastatakse autentimisprotokollide kaudu. Pakettide värskenduste väljaandmise jälgimiseks distributsioonide jaoks tutvuge lehtedega Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Probleemi lahendamiseks soovitatakse ei kasuta credential.helper'i avalikes hoidlates ja ei kasuta „git clone” käsku režiimis „—recurse-submodules” kontrollimata hoidlate puhul. Credential.helper'i täielikuks keelamiseks, mis teostab salvestamise ja paroolide väljaottmist vahemälust, kaitstud salvestuskohtadesse või paroolifailist, saab kasutada järgmisi käsklusi:

git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper

Allikas: opennet.ru