Aggiornamento di Git che risolve un'altra vulnerabilità

Pubblicato rilasci correttivi del sistema di controllo della versione distribuito Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 e 2.17.5, in cui è stata risolta una vulnerabilità (CVE-2020-11008), che ricorda il problema, risolta la settimana scorsa. La nuova vulnerabilità colpisce anche i gestori «credential.helper» ed è sfruttata durante la trasmissione di un URL appositamente formattato, contenente un carattere di nuova linea, un host vuoto o uno schema di richiesta non specificato. Durante l'elaborazione di tale URL, credential.helper invia informazioni sulle credenziali che non corrispondono al protocollo o all'host richiesto.

A differenza del problema precedente, in cui l'attaccante poteva controllare direttamente l'host da cui venivano trasferite le credenziali altrui, con la nuova vulnerabilità ciò non è possibile. Le credenziali che verranno compromesse dipendono da come il parametro assente «host» viene trattato in credential.helper. Il problema principale è che i campi vuoti nell'URL vengono interpretati da molti gestori di credential.helper come istruzioni per applicare qualsiasi credential esistente all'attuale richiesta. Così, credential.helper potrebbe inviare al server dell'attaccante le credenziali salvate per un altro server.

Il problema si manifesta durante operazioni come «git clone» e «git fetch», ma è particolarmente pericoloso durante l'elaborazione dei sottotitoli — eseguendo «git submodule update», vengono automaticamente elaborati gli URL definiti nel file .gitmodules del repository. Come soluzione per bloccare il problema, si raccomanda non utilizzare credential.helper per accedere a repository pubblici e non eseguire «git clone» con l'opzione «—recurse-submodules» su repository non verificati.

Le nuove versioni di Git la correzione vietano la chiamata a credential.helper per URL che contengono valori non rappresentabili (ad esempio, specificando tre barre invece di due — «http:///host» o senza schema di protocollo — «http::ftp.example.com/»). Il problema interessa i gestori store (memoria incorporata delle credenziali Git), cache (memoria incorporata delle credenziali salvate) e osxkeychain (memoria per macOS). Il gestore Git Credential Manager (memoria per Windows) non è vulnerabile.

Puoi tenere traccia degli aggiornamenti dei pacchetti nelle distribuzioni tramite le pagine Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Fonte: opennet.ru