עדכון Git עם פגיעות נוספת תוקנה

יצא לאור מהדורות מתקנות של מערכת בקרת המקור המבוזר Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 ו-2.17.5, ב- אשר חיסל פגיעות (CVE-2020-11008), מזכיר בעיה, הודח בשבוע שעבר. הפגיעות החדשה משפיעה גם על מטפלי "credential.helper" ומנוצלת בעת העברת כתובת URL בפורמט מיוחד המכילה תו חדש, מארח ריק או סכימת בקשה לא מוגדרת. בעת עיבוד כתובת URL כזו, credential.helper שולח מידע על אישורים שאינם תואמים לפרוטוקול המבוקש או למארח שאליו ניגשים.

בניגוד לבעיה הקודמת, בעת ניצול פגיעות חדשה, התוקף לא יכול לשלוט ישירות במארח שממנו יועברו האישורים של מישהו אחר. אילו אישורים דולפים תלוי באופן הטיפול בפרמטר "מארח" החסר ב-credential.helper. ליבת הבעיה היא ששדות ריקים בכתובת ה-URL מתפרשים על ידי מטפלים רבים של credential.helper כהוראות להחלת אישורים על הבקשה הנוכחית. לפיכך, credential.helper יכול לשלוח אישורים המאוחסנים עבור שרת אחר לשרת של התוקף שצוין בכתובת ה-URL.

הבעיה מתרחשת בעת ביצוע פעולות כגון "git clone" ו-"git fetch", אך היא מסוכנת ביותר בעת עיבוד תת-מודולים - בעת ביצוע "עדכון submodule git", כתובות ה-URL המצוינות בקובץ .gitmodules מהמאגר מעובדות אוטומטית. כפתרון עוקף לחסימת הבעיה מומלץ אל תשתמש ב-credential.helper בעת גישה למאגרים ציבוריים ואל תשתמש ב-"git clone" במצב "--recurse-submodules" עם מאגרים לא מסומנים.

מוצע במהדורות חדשות של Git תיקון מונע קריאת credential.helper עבור כתובות אתרים המכילות ערכים בלתי ניתנים לייצוג (לדוגמה, כאשר מציינים שלושה לוכסנים במקום שניים - "http:///host" או ללא ערכת פרוטוקול - "http::ftp.example.com/"). הבעיה משפיעה על החנות (אחסון אישורי Git מובנה), מטמון (מטמון מובנה של אישורים שהוזנו), ומטפלי osxkeychain (אחסון macOS). המטפל של Git Credential Manager (מאגר Windows) אינו מושפע.

אתה יכול לעקוב אחר שחרור עדכוני החבילות בהפצות בדפים דביאן, אובונטו, רהל, SUSE/openSUSE, פדורה, קשת, ALT, FreeBSD.

מקור: OpenNet.ru