Git-oppdatering med feilrettinger

Utgit redekorasjon utgitt av Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 og 2.48.1, hvor to sårbarheter er løst:

• CVE-2024-50349 - mulighet for å erstatte informasjon i en interaktiv forespørsel om passord til et repository. Problemet skyldes manglende riktig sjekk av vertsnavn, hvor symboler kunne kodet i %xx-format (URL-koding). En angriper kunne bruke prosentkoding for å legge til escape-sekvenser i vertsnavnet, som manipulerte terminalutdata.

  På denne måten kan man erstatte tekstmeldingen for autentisering og gi brukeren inntrykk av å bli henvist til et annet repository, slik at når brukeren kobler til angriperens repository, blir påloggingsinformasjon sendt til en annen vert. Angrepet kan utføres ved å bruke den rekursive klonekommandoen «git clone --recurse-submodules», hvor en av submodulene kan be om passord fra en annen vert, men inndata vil bli sendt til angriperens repository.

• CVE-2024-52006 - en identitet i implementeringen av protokollen «credential helper», som brukes til å overføre legitimasjon når man kobler til tilgangskontrollerte repositories, avdekket en svakhet som tillater å sette returtegn i dataene gjennom en spesialformatert URL. Siden protokollen manipulerer linjært data, kan tilføyelsen av returtegn brukes til å dele datablokker og organisere overføring av passord til feil server. Muligheten for å utføre angrepet avhenger av tolkningen av returtegn som linjeskiller i forskjellige implementeringer av protokollen «credential helper». For eksempel er Git Credential Manager, skrevet i C#/.NET, utsatt for problemet.

Brukere som ikke kan oppdatere Git, anbefales å unngå å få tilgang til usikrede eksterne repositories via «git clone»-kommandoen med flagget «--recurse-submodules», samt å unngå å bruke credential helpers når de kloner offentlige repositories. I tillegg til selve Git har oppdateringer for å blokkere disse sårbarhetene blitt utgitt for GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) og Git Credential Manager (CVE-2024-50338).

Kilde: opennet.ru