Korrigált kiadások jelentek meg a Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 és 2.48.1 elosztott verziókezelő rendszerében, amelyek két sebezhetőséget hárítanak el:
- CVE-2024-50349 — lehetőség arra, hogy hamis információt adjon meg a jelszó interaktív kérésében a tárolóhoz. A probléma az eltérő hostnév megfelelő ellenőrzésének hiányából adódik, amely lehetővé tette a karakterek %xx (URL-kódolás) formátumban történő kódolását. A támadó a százalékos kódolás használatával escape-sorozatokat adhatott hozzá a hostnévhez, manipulálva ezzel a terminál kimenetét.
Így át lehetett helyezni a hitelesítési prompt szövegét, és a felhasználónak az a benyomása támadhatott, hogy egy másik tárolóhoz lép, így amikor a támadó tárolójához fordul, a felhasználó másik host jelszavát adja meg. A támadás a "git clone --recurse-submodules" parancs végrehajtásakor valósulhat meg, amikor az egyik szubmodul kérheti egy másik host jelszavát, de a bevitel a támadó tárolójához kerül.
- CVE-2024-52006 — a "credential helper" protokoll megvalósításában, amelyet a korlátozott hozzáférésű tárolókhoz történő hitelesítő adatok átadására használnak, egy hiba került felfedezésre, amely lehetővé teszi a visszatérő karakter beszúrását egy speciálisan formázott URL megadásával. Mivel a protokoll soronként manipulálja az adatokat, a visszatérő karakter hozzáadása felhasználható az adatok blokkokra osztására, és a jelszó átadására nem a megfelelő helyre. szerverA támadás lehetősége a visszatérő karakter különböző megvalósításokban történő sorhatárolóként való értelmezésétől függ a "credential helper" protokollban. Például a C#/.NET nyelven írt Git Credential Manager sebezhető a problémára.
A felhasználóknak, akik nem tudják frissíteni a Git-et, ajánlott elkerülniük a megbízhatatlan külső tárolókhoz való hozzáférést a "git clone" parancs "--recurse-submodules" kapcsolójával, valamint mellőzniük kell a hitelesítő adatok kezelőinek használatát nyilvános tárolók klónozásakor. A Git-en kívül javítások jelentek meg ezen sebezhetőségek blokkolására a GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) és Git Credential Manager (CVE-2024-50338) számára.
Forrás: opennet.ru
