Actualizarea Git cu remedierea unei noi vulnerabilități

Publicate versiunile corective ale sistemului distribuit de control al versiunilor Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 și 2.17.5, în care a fost remediată vulnerabilitatea (CVE-2020-11008), similară problema, remediată săptămâna trecută. Noua vulnerabilitate afectează de asemenea handleri „credential.helper” și este exploatată prin transmiterea unui URL special format care conține un caracter de linie nouă, un host пуст sau o schemă de request nespecificată. La procesarea unui astfel de URL, credential.helper trimite informații despre acreditive nesolicitate pentru protocolul sau hostul la care se face referire.

Spre deosebire de problema anterioară, prin exploatarea noii vulnerabilități, atacatorul nu poate controla direct hostul de la care vor fi transmise acreditivele străine. Acreditivele care se vor scurge depind de modul în care handlerul credential.helper tratează parametrul lipsă „host”. Esența problemei constă în faptul că câmpurile goale din URL sunt interpretate de multe handleri credential.helper ca instrucțiuni de a aplica pentru requestul curent orice acreditive. Astfel, credential.helper poate trimite către serverul atacatorului acreditivele stocate pentru un alt server.

Problema apare în timpul executării unor operațiuni precum „git clone” și „git fetch”, dar este cea mai periculoasă atunci când se procesează submodule — când se execută „git submodule update”, URL-urile specificate în fișierul .gitmodules din repository sunt procesate automat. Ca o soluție de ocolire a problemei se recomandă nu utiliza credential.helper când se accesează republiche publice și nu aplica „git clone” în modul „—recurse-submodules” cu republiche nesigure.

Modificările propuse în noile versiuni Git un fix interzic apelarea credential.helper pentru URL-uri care conțin valori neadmisibile (de exemplu, folosind trei slash-uri în loc de două — „http://host” sau fără schema protocolului — „http::ftp.example.com/”). Problema afectează handleri store (stocarea integrată a acreditivelor Git), cache (cache-ul integrat al acreditivelor introduse) și osxkeychain (stocarea pentru macOS). Handlerul Git Credential Manager (stocarea pentru Windows) nu este vulnerabil la această problemă.

Monitorizarea actualizărilor pachetelor în distribuțiile poate fi efectuată pe paginile Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Sursa: opennet.ro