Git atjauninājums ar drošības trūkumu novēršanu.

Ir publicēti labojumi izplatītajā koda pārvaldības sistēmā Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 un 2.48.1, kuri novērš divas ievainojamības:

• CVE-2024-50349 — iespēja mainīt informāciju interaktīvajā paroles pieprasījumā uz repozitoriju. Problēma radusies, jo nebija pienācīgas pārbaudes par hosta nosaukumu, kurā tika atļauta simbolu kodēšana %xx formātā (URL kodēšana). Uzbrucējs varēja izmantot procentu kodēšanu, lai pievienotu escapēšanas secības hosta nosaukumā, manipulējot ar termināla izvadi.

  Tādā veidā var aizstāt autentifikācijas aicinājuma tekstu un radīt lietotājam sajūtu, ka viņš vēršas pie cita repozitorija, lai, kad lietotājs aicināts pie repozitorija uzbrucēja puses, ievadītu savu pieslēgšanās vārdu un paroli no cita hosta. Uzbrukums var tikt veikts, veicot rekursīvo submoduļu klonēšanu ar komandu „git clone —recurse-submodules”, kur viens no submoduļiem var pieprasīt paroli no cita hosta, bet ievadītās dati tiks nosūtīti uz uzbrucēja repozitoriju.

• CVE-2024-52006 — kredencialu palīga protokola īstenojumā, kas tiek izmantots, lai nodotu akreditācijas datus, piekļūstot repozitorijiem ar ierobežotu piekļuvi, konstatēta nepilnība, kas ļauj iekļaut atgriešanās karakters, norādot īpaši noformētu URL. Tā kā protokols manipulē ar vienu rindu datiem, atgriešanās karakters var tikt izmantots, lai atdalītu datu blokus un organizētu paroles nosūtīšanu uz ne to. serveraUzbrukuma iespējamība ir atkarīga no atgriešanās rakstzīmes interpretācijas kā rindas dalītāja dažādās kredencialu palīga protokola īstenojumos. Piemēram, šī problēma skar Git Credential Manager, kas uzrakstīts C#/.NET.

Lietotājiem, kuri nevar atjaunināt Git, ieteicams atturēties no piekļuves neapstiprinātiem ārējiem repozitorijiem, izmantojot komandu „git clone” ar karogu „—recurse-submodules”, kā arī izslēgt kredencialu palīgu izmantošanu publisku repozitoriju klonēšanā. Papildus Git ir izlaisti labojumi, lai bloķētu šo ievainojamību datus, GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) un Git Credential Manager (CVE-2024-50338) labojumam.

Avots: opennet.lv