versioni corrette del sistema di gestione dei sorgenti distribuito Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 e 2.17.4, in cui è stato risolto () nel gestore "", che porta all'invio di credenziali al host sbagliato quando il client git accede al repository tramite un URL appositamente formattato che contiene un carattere di nuova riga. Questa vulnerabilità può essere utilizzata per inviare credenziali da un altro host a un server controllato dall'attaccante.
Quando si specifica un URL del tipo «https://evil.com?host=github.com/», il gestore delle credenziali durante la connessione all'host evil.com trasmetterà i parametri di autenticazione impostati per github.com. Il problema si manifesta durante operazioni come «git clone», inclusa la gestione degli URL per i sottomoduli (ad esempio, durante l'esecuzione di «git submodule update», saranno automaticamente elaborati gli URL specificati nel file .gitmodules del repository). La vulnerabilità rappresenta un rischio maggiore in situazioni in cui lo sviluppatore clona un repository senza vedere l'URL, come nel caso dei sottomoduli, o in sistemi che effettuano azioni automatiche, come negli script di build dei pacchetti.
Per bloccare la vulnerabilità nelle nuove versioni l'invio di un carattere di nuova riga in qualsiasi valore trasmesso tramite il protocollo di gestione delle credenziali. Per i pacchetti, è possibile monitorare il rilascio degli aggiornamenti sulle pagine , , , , , , .
Come soluzione alternativa per bloccare il problema non utilizzare credential.helper quando si accede a repository pubblici e non utilizzare "git clone" in modalità "--recurse-submodules" con repository non verificati. Per disabilitare completamente il gestore credential.helper, che esegue e recupero delle password da , protetta da o file di password, è possibile utilizzare i seguenti comandi:
git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper
Fonte: opennet.ru
