Correcties voor de gedistribueerde broncodebeheersysteem Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 en 2.48.1 zijn uitgebracht, waarin twee kwetsbaarheden zijn verholpen:
- CVE-2024-50349 - de mogelijkheid om informatie te vervalsen in de interactieve aanroep om het wachtwoord voor de repository. Het probleem is ontstaan door het ontbreken van een goede controle van de hostnaam, waarbij het coderen van symbolen in %xx (URL-encodering) werd toegestaan. Een aanvaller kon procentcodering gebruiken om escape-sequenties aan de hostnaam toe te voegen, waardoor de uitvoer naar de terminal gemanipuleerd werd.
Op deze manier kan de tekst van de authenticatieprompt worden vervangen, waardoor de gebruiker de indruk krijgt met een andere repository te maken te hebben, zodat bij toegang tot de repository van de aanvaller de gebruiker de inloggegevens van een andere host invoert. Een aanval kan plaatsvinden tijdens het uitvoeren van het recursieve klonen van submodules met het commando 'git clone --recurse-submodules', waarbij een van de submodules een wachtwoord van een andere host kan vragen, maar de invoer wordt naar de host van de aanvaller gestuurd.
- CVE-2024-52006 - in de implementatie van het 'credential helper'-protocol, dat wordt gebruikt voor het verzenden van inloggegevens bij het benaderen van repositories met beperkte toegang, is een tekortkoming ontdekt die het mogelijk maakt om een carriage return-teken in de gegevens in te voegen via een speciaal opgemaakte URL. Aangezien het protocol met regelgewijze gegevens werkt, kan de toevoeging van een carriage return worden gebruikt om gegevensblokken te scheiden en de overdracht van het wachtwoord naar een andere locatie te organiseren. serverDe mogelijkheid van een aanval is afhankelijk van de interpretatie van het carriage return-teken als scheidingsteken in verschillende implementaties van het 'credential helper'-protocol. Bijvoorbeeld, de Git Credential Manager, geschreven in C#/.NET, is kwetsbaar voor dit probleem.
Gebruikers die Git niet kunnen bijwerken, wordt aangeraden om voorzichtig om te gaan met onbeveiligde externe repositories met het commando 'git clone' met de vlag '--recurse-submodules', alsook het gebruik van credential handlers te vermijden bij het klonen van openbare repositories. Naast Git zijn er ook patches uitgebracht om deze kwetsbaarheden te blokkeren voor GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) en Git Credential Manager (CVE-2024-50338).
Bron: opennet.ru
