Giti värskendus, mis lahendab veel ühe haavatavuse

Avaldatud korrektsed väljaanded hajutatud süsteemide haldamiseks allikatekstide Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ja 2.17.5, kus on kõrvaldatud haavatavus (CVE-2020-11008), meenutades probleem, kõrvaldatud eelmisel nädalal. Uus haavatavus mõjutab ka «credential.helper» töötlejat ja seda saab ära kasutada, edastades spetsiaalselt vormindatud URL-i, mis sisaldab uue rea sümbolit, tühja hosti või määramata päringu skeemi. Sarnase URL-i käsitlemisel saadab credential.helper teavet kasutajakontode kohta, mis ei vasta nõutud protokollile või hostile, millele pöördutakse.

Erinevalt eelmise probleemi puhul ei saa ründaja uue haavatavuse kasutamisel otse kontrollida hosti, kellelt kolmandate isikute kasutajakonto andmed edastatakse. Milliseid kasutajakonto andmeid lekib, sõltub «host» parameetri töötlemise eripärast credential.helper-s. Probleemi tuum on see, et tühjad väljad URL-is tõlgendatakse paljude credential.helper töötlejate poolt juhistena, et rakendada kõiki kasutajateavet, mis on seotud praeguse päringuga. Seetõttu võib credential.helper saata ründaja URL-is märgitud serverisse teavet, mis on salvestatud teise serveri jaoks.

Probleem ilmneb selliste toimingute täitmisel nagu «git clone» ja «git fetch», kuid on kõige ohtlikum alamoodulite töötlemisel — «git submodule update» korral töödeldakse automaatselt URL-e, mis on määratud .gitmodules failis hoidlas. Probleemi blokeerimise kui kõrvalteena soovitatakse ärge kasutage credential.helper-i avalike hoidlate juures ja ärge kasutage «git clone» režiimis «—recurse-submodules» usaldamatute hoidlate puhul.

Uutes Git-i versioonides pakutud parandus keelab credential.helper-i kutsumise URL-dele, mis sisaldavad vastuvõetamatud väärtused (näiteks kolme kaldkriipsu määramine kahe asemel — «http://host» või protokolli skeemita — «http::ftp.example.com/»). Probleem mõjutab store (sisseehitatud Git-i kasutajakonto andmete salvestamine), cache (sisseehitatud sisestatud kasutajakonto andmete vahemälu) ja osxkeychain (macOS salvestus). Git Credential Manager (Windowsi salvestus) ei ole sellele haavatavusele vastuvõtlik.

Pakettide värskenduste jälgimiseks distributsioonides saab külastada lehti Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Allikas: opennet.ru