Git frissítés egy újabb sebezhetőség javításával

Megjelentek A javított kiadások a Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 és 2.17.5 elosztott forráskezelő rendszerből, amelyek kijavítják vulnerability (CVE-2020-11008), emlékeztető a problémát, amelyet múlt héten javítottak. Az új sebezhetőség szintén érinti a „credential.helper” kezelőket, és kihasználható olyan speciálisan formált URL átadásakor, amely új sor karaktert tartalmaz, üres hostot vagy nem meghatározott kérés sémát. Ilyen URL feldolgozása során a credential.helper olyan hitelesítő adatokat küld, amelyek nem felelnek meg a kért protokollnak vagy a hozzáférni kívánt hostnak.

Ellentétben a korábbi problémával, az új sebezhetőség kihasználása során a támadó nem tudja közvetlenül irányítani azt a hostot, ahonnan a harmadik fél hitelesítő adatai kerülnek továbbításra. Az, hogy mely hitelesítő adatok szivárognak ki, a credential.helper hiányzó „host” paraméterének feldolgozásának sajátosságaitól függ. A probléma lényege, hogy az üres mezők az URL-ben sok credential.helper kezelő által utasításként vannak értelmezve, hogy a jelenleg hívott adatforráshoz bármilyen hitelesítő adatot alkalmazzanak. Így a credential.helper a támadó által az URL-ben megadott szervernek küldheti a másik szerverhez mentett hitelesítő adatokat.

A probléma olyan műveletek végrehajtásakor jelentkezik, mint a „git clone” és a „git fetch”, de a legveszélyesebb a szubmodulok feldolgozása során — a „git submodule update” futtatásakor automatikusan feldolgozásra kerülnek az URL-ek, amelyeket a .gitmodules fájl határoz meg a tárolóból. Mint megoldás a probléma blokkolására ajánlott ne használja a credential.helper-t nyilvános tárolókhoz való hozzáféréskor, és ne alkalmazza a „git clone” parancsot „—recurse-submodules” módban nem ellenőrzött tárolókkal.

Az új Git kiadásokban javasolt javítást tiltja a credential.helper hívását olyan URL-ekhez, amelyek tartalmazzák értelmezhetetlen értékek (például ha három perjel van megadva ahelyett, hogy kettő — „http://host” vagy protokoll séma megadása nélkül — „http::ftp.example.com/”). A probléma érinti a store (Git beépített hitelesítő tárolója), cache (beépített hitelesítő adat gyorsítótár) és osxkeychain (macOS tároló) kezelőket. A Git Credential Manager (Windows tároló) nem függ a sebezhetőségtől.

A csomagok frissítéseinek nyomon követése a disztribúciókban a következő oldalakon lehetséges Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Forrás: opennet.ru