Git uuendus haavatavuste kõrvaldamisega.

Avaldatud on paranduste väljalasked hajutatud lähtekoodi haldussüsteemile Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 ja 2.48.1, kus on kõrvaldatud kaks haavatavust:

• CVE-2024-50349 — võimalus muuta teavet interaktiivses parooli küsimises hoidla jaoks. Probleem tuleneb hostinime nõuetekohase kontrollimise puudumisest, kus lubati sümbolite kodeerimist %xx vormingus (URL kodeerimine). Ründaja sai kasutada protsendi kodeerimist, et lisada hostinime escape-järgnevusi, mis manipuleerivad terminali väljundiga.

  Selle meetodi abil on võimalik muuta autentimise kutse teksti ja luua kasutajal tunne, et ta suunatakse teise hoidla, et kui rünnakuga hoidlas sisse logides sisestaks kasutaja teise hosti kasutajanime ja parooli. Rünnakut saab sooritada alamkoodide rekursiivse kloonimisega käsuga „git clone —recurse-submodules”, kus üks alamkood võib küsida parooli teiselt hostilt, kuid sisend saadetakse ründaja hoidla hostile.

• CVE-2024-52006 — „credential helper“ protokolli rakenduses, mida kasutatakse volituste edastamiseks piiratud juurdepääsuga hoidlatele, avastati puudus, mis võimaldab edastada tagasiviimise sümbolit spetsiaalselt vormindatud URL-i abil. Kuna protokoll manipuleerib ridade andmetega, võib tagasiviimise lisamine kasutada andmeplokkide jagamiseks ja parooli edastamiseks valele server. Rünnaku võimalus sõltub tagasiviimise sümboli tõlgendamisest rida eraldajana erinevates „credential helper“ protokollide rakendustes. Näiteks on probleemis aldis Git Credential Manager, mis on kirjutatud C# ja .NET keeles.

Kasutajatele, kes ei saa Git-i uuendada, soovitatakse hoiduda kontrollimata väliste hoidlate kasutamisest käsuga „git clone” koos lipuga „—recurse-submodules” ja välistada volituste abivahendite kasutamine avalike hoidlate kloonimisel. Peale Git-i on haavatavuste tõkestamiseks välja antud parandused ka GitHub Desktopile (CVE-2025-23040), Git LFS-le (CVE-2024-53263) ja Git Credential Managerile (CVE-2024-50338).

Allikas: opennet.ru