Actualización de Git con outra vulnerabilidade corrixida

Publicado versións correctivas do sistema de control de fontes distribuídas Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 e 2.17.5, en que eliminou vulnerabilidade (CVE-2020-11008), que lembra problema, eliminado a semana pasada. A nova vulnerabilidade tamén afecta aos controladores "credential.helper" e é explotada ao pasar un URL con formato especial que contén un carácter de nova liña, un host baleiro ou un esquema de solicitude non especificado. Ao procesar tal URL, credential.helper envía información sobre as credenciais que non coinciden co protocolo solicitado ou co servidor ao que se accede.

A diferenza do problema anterior, ao explotar unha nova vulnerabilidade, o atacante non pode controlar directamente o host desde o que se transferirán as credenciais doutra persoa. As credenciais que se filtran dependen de como se xestione o parámetro "host" que falta en credential.helper. O núcleo do problema é que moitos xestores credential.helper interpretan os campos baleiros do URL como instrucións para aplicar calquera credencial á solicitude actual. Así, credential.helper pode enviar as credenciais almacenadas para outro servidor ao servidor do atacante especificado no URL.

O problema ocorre cando se realizan operacións como "git clone" e "git fetch", pero é máis perigoso ao procesar submódulos: ao realizar a "actualización do submódulo git", os URL especificados no ficheiro .gitmodules do repositorio son procesados ​​automaticamente. Como solución para bloquear o problema recomendado Non use credential.helper cando acceda a repositorios públicos e non use "git clone" no modo "--recurse-submodules" con repositorios sen marcar.

Ofrécese nas novas versións de Git corrección impide chamar a credential.helper para os URL que conteñan valores irrepresentables (por exemplo, cando se especifican tres barras inclinadas en lugar de dúas - "http:///host" ou sen esquema de protocolo - "http::ftp.example.com/"). O problema afecta aos controladores da tenda (almacenamento de credenciais Git integrado), da caché (caché integrada das credenciais introducidas) e osxkeychain (almacenamento de macOS). O controlador Git Credential Manager (repositorio de Windows) non se ve afectado.

Podes seguir o lanzamento de actualizacións de paquetes nas distribucións nas páxinas Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arco, ALT, FreeBSD.

Fonte: opennet.ru