Sono stati pubblicati aggiornamenti correttivi per il sistema di gestione del codice sorgente distribuito Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 e 2.48.1, che risolvono due vulnerabilità:
- CVE-2024-50349 — possibilità di sostituire informazioni nella richiesta interattiva di password per il repository. Il problema è causato dalla mancanza di controllo adeguato sul nome host, consentendo la codifica di caratteri nel formato %xx (URL Encoding). L'attaccante potrebbe utilizzare la codifica percentuale per inserire sequenze di escape nel nome host, manipolando così l'output nel terminale.
In questo modo, è possibile modificare il testo del prompt di autenticazione e creare nell'utente l'illusione di accedere a un altro repository, inducendo l'utente a inserire nome utente e password di un altro host quando si contatta il repository dell'attaccante. L'attacco può essere effettuato durante il cloning ricorsivo dei submoduli con il comando “git clone —recurse-submodules”, in cui uno dei submoduli potrebbe richiedere una password da un altro host, ma l'input verrà inviato all'host con il repository dell'attaccante.
- CVE-2024-52006 — nel protocollo 'credential helper', utilizzato per la trasmissione delle credenziali durante l'accesso ai repository con accesso limitato, è stata identificata una vulnerabilità che consente di inserire un carattere di ritorno a capo tramite un URL formattato appositamente. Poiché il protocollo gestisce i dati riga per riga, l'aggiunta di un ritorno a capo può essere utilizzata per separare i blocchi di dati e organizzare la trasmissione della password in modo errato. un serverLa possibilità di effettuare un attacco dipende dall'interpretazione del carattere di ritorno a capo come separatore di riga nelle varie implementazioni del protocollo 'credential helper'. Ad esempio, è vulnerabile il Git Credential Manager, scritto in C#/.NET.
Si raccomanda agli utenti che non possono aggiornare Git di astenersi dall'accedere a repository esterni non verificati utilizzando il comando 'git clone' con l'opzione '—recurse-submodules', oltre a escludere l'uso di gestori di credenziali durante il cloning di repository pubblici. Oltre a Git, sono stati rilasciati aggiornamenti per bloccare tali vulnerabilità per GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) e Git Credential Manager (CVE-2024-50338).
Fonte: opennet.ru
