Ažuriranje Gita s ispravcima sigurnosnih ranjivosti

Objavljene su ispravke za distribuirani sustav upravljanja verzijama Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 i 2.48.1, koje otklanjaju dvije ranjivosti:

• CVE-2024-50349 — mogućnost zamjene informacija u interaktivnom upitu za lozinku u repozitoriju. Problem nastaje zbog nedostatka odgovarajuće provjere naziva domaćina, gdje je moguće kodirati simbole u formatu %xx (URL Encoding). Napadač je mogao koristiti postotni kod za dodavanje escape sekvenci u naziv domaćina, manipulirajući izlazom na terminal.

  Na ovaj način, može doći do zamjene teksta upita za autentifikaciju i stvoriti korisniku osjećaj da se obraća drugom repozitoriju, tako da kada se korisnik poveže s napadačevim repozitorijem, unese korisničko ime i lozinku s drugog domaćina. Napad se može izvršiti prilikom rekurzivnog kloniranja podmodula s naredbom „git clone —recurse-submodules”, pri čemu jedan od podmodula može zatražiti lozinku s drugog domaćina, ali će unos biti poslan na domaćin s napadačevim repozitorijem.

• CVE-2024-52006 — u implementaciji protokola „credential helper”, koji se koristi za prijenos vjerodajnica prilikom pristupa repozitorijima s ograničenim pristupom, otkrivena je nedostatak koja omogućava umetanje povratnog lijevog simbola putem posebno oblikovanog URL-a. Kako protokol manipulira linijskim podacima, dodavanje povratnog lijevog simbola može se iskoristiti za razdvajanje blokova podataka i organiziranje prijenosa lozinke na pogrešan server. Mogućnost izvođenja napada ovisi o interpretaciji povratnog lijevog simbola kao razdjeljnika reda u različitim implementacijama protokola „credential helper”. Na primjer, problem je prisutan u Git Credential Manageru, napisanom u C#/.NET.

Korisnicima koji nemaju mogućnost ažurirati Git preporučuje se da se suzdrže od pristupanja neprovjerenim vanjskim repozitorijima s naredbom „git clone” s oznakom „—recurse-submodules“, kao i da izbjegavaju korištenje upravitelja vjerodajnica prilikom kloniranja javnih repozitorija. Osim samog Gita, ispravke za blokiranje ovih ranjivosti izdane su za GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) i Git Credential Manager (CVE-2024-50338).

Izvor: opennet.ru