Atualização do Git que corrige mais uma vulnerabilidade

Publicado versões corretivas do sistema de controle de versões distribuído Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 e 2.17.5, que resolveram uma vulnerabilidade (CVE-2020-11008), semelhante a o problema, resolvido na semana passada. A nova vulnerabilidade também afeta os manipuladores 'credential.helper' e é explorada ao transmitir uma URL especificamente formatada que contém um caractere de nova linha, um host vazio ou um esquema de solicitação não especificado. Ao processar tal URL, o credential.helper envia informações de credenciais que não correspondem ao protocolo ou host solicitado.

Ao contrário do problema anterior, ao explorar a nova vulnerabilidade, o atacante não pode controlar diretamente o host do qual as credenciais de outra pessoa serão enviadas. As credenciais que vazam dependem da maneira como o parâmetro ausente 'host' é tratado pelo credential.helper. O problema é que campos vazios na URL são interpretados por muitos manipuladores de credential.helper como instruções para aplicar a qualquer solicitação atual quaisquer credenciais. Assim, o credential.helper pode enviar ao servidor do atacante as credenciais salvas para outro servidor especificado na URL.

O problema se manifesta ao executar operações como 'git clone' e 'git fetch', mas é mais perigoso ao lidar com submódulos — ao executar 'git submodule update', URLs especificadas no arquivo .gitmodules do repositório são processadas automaticamente. Como uma solução alternativa para bloquear o problema recomenda-se não usar credential.helper ao acessar repositórios públicos e não usar 'git clone' no modo '--recurse-submodules' com repositórios não verificados.

As novas versões do Git a correção proíbem a chamada do credential.helper para URLs que contenham valores impossíveis (por exemplo, ao especificar três barras em vez de duas — 'http:///host' ou sem esquema de protocolo — 'http::ftp.example.com/') . O problema afeta os manipuladores store (armazenamento interno de credenciais do Git), cache (cache interno de credenciais inseridas) e osxkeychain (armazenamento para macOS). O manipulador Git Credential Manager (armazenamento para Windows) não é vulnerável.

É possível acompanhar o lançamento de atualizações nos pacotes das distribuições nas páginas Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Fonte: opennet.ru