Haavatavus Git'is, mis viib kasutajakontode andmete lekitamiseni

Avaldatud korrektuuriväljaanded jaotatud lähtekoodihalduse süsteemis Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ja 2.17.4, milles on kõrvaldatud haavatavus (CVE-2020-5260) töötlejas „credential.helper«, mis toob kaasa autentimisandmete saatmise valele hostile, kui git-klient pöördub hoidla poole erikujundatud URL-i kaudu, mis sisaldab reavahetusmärki. Ründaja kontrolli all oleva serveri suunas saadud autentimisandmeid on võimalik kasutada.

Kui URL on kujul „https://evil.com?host=github.com/”, edastab autentimistöötlija evil.com hostile ühenduste loomisel autentimise väärtused, mis on määratud github.com jaoks. Probleem avaldub selliste toimingute käigus nagu „git clone”, sealhulgas submoodulite URL-ide töötlemisel (näiteks „git submodule update” käivitamisel töödeldakse automaatselt URL-e, mis on määratud .gitmodules failis hoidlas). Rikkumine on eriti ohtlik olukordades, kus arendaja kloonib hoidlat, mitte URL-i nägemata, näiteks submoodulitega töötamisel või automaatsete toimingute teostamise süsteemides, näiteks paketihaldusscriptides.

Uue versiooni väljaandmiseks on keelatud reavahetusmärgi edastamine igasugustes väärtustes, mis edastatakse autentimisprotokollide kaudu. Pakettide värskenduste väljaandmise jälgimiseks distributsioonide jaoks tutvuge lehtedega Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD.

Probleemi lahendamiseks soovitatakse ei kasuta credential.helper'i avalikes hoidlates ja ei kasuta „git clone” käsku režiimis „—recurse-submodules” kontrollimata hoidlate puhul. Credential.helper'i täielikuks keelamiseks, mis teostab salvestamise ja paroolide väljaottmist vahemälust, kaitstud salvestuskohtadesse või paroolifailist, saab kasutada järgmisi käsklusi:

git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper

Allikas: opennet.ru