versiuni corective ale sistemului de control al sursei distribuite Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 și 2.17.5, în care a eliminat (), reminiscentă , eliminat săptămâna trecută. Noua vulnerabilitate afectează, de asemenea, handlerii „credential.helper” și este exploatată atunci când se transmite o adresă URL special formatată care conține un caracter newline, o gazdă goală sau o schemă de solicitare nespecificată. Atunci când procesează o astfel de adresă URL, credential.helper trimite informații despre acreditările care nu se potrivesc cu protocolul solicitat sau cu gazda accesată.
Spre deosebire de problema anterioară, atunci când exploatează o nouă vulnerabilitate, atacatorul nu poate controla direct gazda de la care vor fi transferate acreditările altcuiva. Ce acreditări sunt scurse depinde de modul în care parametrul „gazdă” lipsă este gestionat în credential.helper. Miezul problemei este că câmpurile goale din adresa URL sunt interpretate de mulți handleri credential.helper ca instrucțiuni pentru a aplica orice acreditări la cererea curentă. Astfel, credential.helper poate trimite acreditări stocate pentru un alt server către serverul atacatorului specificat în URL.
Problema apare atunci când se efectuează operațiuni precum „git clone” și „git fetch”, dar este cea mai periculoasă la procesarea submodulelor - când se efectuează „git submodule update”, adresele URL specificate în fișierul .gitmodules din depozit sunt procesate automat. Ca o soluție pentru a bloca problema Nu utilizați credential.helper când accesați depozitele publice și nu folosiți „git clone” în modul „--recurse-submodules” cu arhivele nebifate.
Oferit în noile versiuni Git previne apelarea credential.helper pentru adrese URL care conțin (de exemplu, când specificați trei bare oblice în loc de două - „http:///host” sau fără o schemă de protocol - „http::ftp.example.com/”). Problema afectează magazinul (stocare de acreditări Git încorporată), cache (cache-ul încorporat al acreditărilor introduse) și gestionatorii osxkeychain (stocare macOS). Managerul Git Credential Manager (depozitul Windows) nu este afectat.
Puteți urmări lansarea actualizărilor pachetelor în distribuțiile de pe pagini , , , , , , , .
Sursa: opennet.ru