Haavatavus Git-is, mis viib autentimisandmete leketeni.

Avaldatud korrektsiooniversioonid jaotatud allikate haldamise süsteemile Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ja 2.17.4, milles on kõrvaldatud haavatavus (CVE-2020-5260) töötlejas „credential.helper«, mis põhjustab akreditiivide saatmise valele hostile, kui git-klient pöördub hoidla poole spetsiaalselt vormindatud URL-i kaudu, mis sisaldab uue rea sümbolit. Haavatavust saab kasutada, et edastada akreditiive ründaja kontrollitud serverisse teiselt hostilt.

Kui URL on vormingus «https://evil.com?host=github.com/», edastab evil.com'i hosti autentimisprotsessor github.com'i jaoks määratud autentimisparameetrid. Probleem ilmneb selliste toimingute käigus nagu «git clone», sealhulgas submoodulite URL-ide töötlemisel (näiteks «git submodule update» käivitamisel töödeldakse automaatselt .gitmodules failis määratud URL-id). Haavatavus on kõige ohtlikum olukordades, kus arendaja kloonib hoidla, nägemata URL-i, näiteks submoodulitega töötades, või automaatsetes süsteemides, näiteks pakettide loomise skriptides.

Haavatavuse blokeerimiseks uutes versioonides on keelatud on uue rea sümboli edastamine igasugustes väärtustes, mis edastatakse akreditiivide vahetamise protokolli kaudu. Pakettide väljalasketeabe saamiseks saate jälgida Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Käiguteena probleemi blokeerimiseks soovitame ärge kasutage credential.helper, kui pöördute avalike hoidlate poole, ja ärge kasutage „git clone” koos „—recurse-submodules” režiimiga usaldamatute hoidlate puhul. Credential.helper'i töötleja täielikuks keelamiseks, mis teostab salvestamine ja paroolide väljavõttmine vahemälust, mis on kaitstud andmesalvestussüsteemis koormuse või paroolifailist, saate kasutada järgmisi käske:

git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper

Allikas: opennet.ru