{"id":121349,"date":"2025-01-15T15:46:07","date_gmt":"2025-01-15T13:46:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-git-s-ustraneniem-uyazvimostej"},"modified":"2025-01-15T15:46:07","modified_gmt":"2025-01-15T13:46:07","slug":"obnovlenie-git-s-ustraneniem-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovlenie-git-s-ustraneniem-uyazvimostej","title":{"rendered":"Mise \u00e0 jour de Git corrigeant des vuln\u00e9rabilit\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des versions correctives du syst\u00e8me de gestion de code source distribu\u00e9 Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 et 2.48.1 ont \u00e9t\u00e9 publi\u00e9es, corrigeant deux vuln\u00e9rabilit\u00e9s : <\/p>\n
\n
CVE-2024-50349 \u2014 possibilit\u00e9 de falsification d'informations dans une demande interactive de mot de passe pour un d\u00e9p\u00f4t. Le probl\u00e8me est caus\u00e9 par un manque de v\u00e9rification ad\u00e9quate du nom d'h\u00f4te, permettant le codage des caract\u00e8res au format %xx (URL Encoding). Un attaquant pouvait utiliser le codage par pourcentage pour ajouter au nom d'h\u00f4te des s\u00e9quences d'\u00e9chappement manipulant la sortie sur le terminal.\n
De cette mani\u00e8re, il est possible de remplacer le texte de l'invitation \u00e0 l'authentification et de cr\u00e9er chez l'utilisateur l'illusion d'acc\u00e9der \u00e0 un autre d\u00e9p\u00f4t, de sorte que, lorsqu'il acc\u00e8de au d\u00e9p\u00f4t de l'attaquant, l'utilisateur saisisse le nom d'utilisateur et le mot de passe d'un autre h\u00f4te. L'attaque peut \u00eatre effectu\u00e9e lors du clonage r\u00e9cursif des sous-modules avec la commande \u00ab git clone \u2014recurse-submodules \u00bb, lors duquel l'un des sous-modules peut demander un mot de passe d'un autre h\u00f4te, mais la saisie sera envoy\u00e9e \u00e0 l'h\u00f4te du d\u00e9p\u00f4t de l'attaquant. <\/p>\n