Haavatavus Git'is, mis viib kasutajakontode andmete lekitamiseni

Avaldatud korrektuuriväljaanded jaotatud lähtekoodihalduse süsteemis Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ja 2.17.4, milles on kõrvaldatud haavatavus (CVE-2020-5260) töötlejas „credential.helper«, mis toob kaasa autentimisandmete saatmise valele hostile, kui git-klient pöördub hoidla poole erikujundatud URL-i kaudu, mis sisaldab reavahetusmärki. Ründaja kontrolli all oleva serveri suunas saadud autentimisandmeid on võimalik kasutada.

Kui URL on kujul «https://evil.com?host=github.com/», siis edastab evil.com'i ühenduse andmete käsitleja autentimise parameetrid, mis on määratud github.com'i jaoks. Probleem ilmneb selliste toimingute sooritamisel nagu «git clone», sealhulgas alamsubmodulite URL-ide töötlemisel (näiteks «git submodule update» puhul töödeldakse automaatselt URL-e, mis on määratud .gitmodules failis hoidlast). See haavatavus on kõige ohtlikum olukordades, kus arendaja kloonib hoidlat, nägemata URL-i, näiteks alamsubmodulite töös või süsteemides, mis teevad automaatseid toiminguid, nagu pakettide ehitamise skriptides.

Uue versiooni väljaandmiseks on keelatud reavahetusmärgi edastamine igasugustes väärtustes, mis edastatakse autentimisprotokollide kaudu. Pakettide värskenduste väljaandmise jälgimiseks distributsioonide jaoks tutvuge lehtedega Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Probleemi lahendamiseks soovitatakse ei kasuta credential.helper'i avalikes hoidlates ja ei kasuta „git clone” käsku režiimis „—recurse-submodules” kontrollimata hoidlate puhul. Credential.helper'i täielikuks keelamiseks, mis teostab salvestamise ja paroolide väljaottmist vahemälust, kaitstud salvestuskohtadesse või paroolifailist, saab kasutada järgmisi käsklusi:

git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper

Allikas: opennet.ru