Ažuriranje Git-a uklanja još jednu ranjivost

Objavljene ispravke distribucijskog sustava za upravljanje izvorom Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 i 2.17.5, u kojima je ispravljena ranljivost (CVE-2020-11008), podsjećajući problem, ispravljen prošli tjedan. Nova ranjivost također utječe na upravitelje „credential.helper“ i iskorištava se prilikom prijenosa specijalno oblikovanog URL-a, koji sadrži znak nove linije, prazni host ili neodređeni upitni shemu. Prilikom obrade takvog URL-a, credential.helper šalje informacije o vjerodajnicama koje ne odgovaraju zatraženom protokolu ili hostu koji se traži.

Za razliku od prošlog problema, u slučaju nove ranjivosti, napadač ne može izravno kontrolirati host s kojeg će se prenijeti tuđe vjerodajnice. To koje će se vjerodajnice otkriti ovisi o specifičnostima obrade nedostajuće stavke „host“ u credential.helper. Bit problema je u tome što se prazna polja u URL-u tumače od strane mnogih upravitelja credential.helper kao instrukcije za primjenu svih vjerodajnica važećih za trenutnu obradu. Tako credential.helper može poslati na server napadača vjerodajnice pohranjene za drugi server.

Problem se manifestira prilikom izvršavanja operacija kao što su „git clone“ i „git fetch“, ali je najopasniji prilikom obrade submodula — prilikom izvršavanja „git submodule update“ automatski se obrađuju URL-ovi navedeni u datoteci .gitmodules iz repozitorija. Kao zaobići rješenje problem preporučuje se ne koristiti credential.helper prilikom pristupanja javnim repozitorijima i ne primjenjivati „git clone“ u režimu „—recurse-submodules“ s nepouzdanim repozitorijima.

Predložene ispravke u novim izdanjima Gita ispravka onemogućava poziv credential.helper za URL-ove koji sadrže neprikladne vrijednosti (na primjer, kada se navedu tri kosa crta umjesto dvije — „http://host“ ili bez sheme protokola — „http::ftp.example.com/“). Problem se odnosi na upravitelje store (ugrađeno pohranjivanje vjerodajnica Gita), cache (ugrađeni cache unesenih vjerodajnica) i osxkeychain (pohrana za macOS). Upravitelj Git Credential Manager (pohrana za Windows) nije podložan ovoj ranjivosti.

Praćenje izdanja ažuriranja paketa u distribucijama može se provjeriti na stranicama Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Izvor: opennet.ru