Boli vydané opravy distribučného systému na správu zdrojového kódu Git vo verziách 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 a 2.48.1, ktoré riešia dve zraniteľnosti:
- CVE-2024-50349 — možnosť podvodu s informáciami v interaktívnej žiadosti o heslo k repozitáru. Problém je spôsobený nedostatočnou kontrolou názvu hostiteľa, kde bolo možné kódovanie znakov vo formáte %xx (URL Encoding). Útočník mohol využiť percentuálne kódovanie na pridaní escape sekvencií do názvu hostiteľa, ktoré manipulovali s výstupom na terminál.
Týmto spôsobom je možné nahradiť text výzvy na autentifikáciu a vytvoriť tak u používateľa dojem, že sa prihlasuje k inému repozitáru, čo môže viesť k tomu, že pri pokuse o prístup k repozitáru útočníka používateľ zadá prihlasovacie meno a heslo od iného hostiteľa. Útok môže prebehnúť počas vykonávania rekurzívneho klonovania submodulov príkazom „git clone —recurse-submodules“, pri ktorom môže jeden zo submodulov žiadať heslo od iného hostiteľa, ale zadávanie bude odoslané na hostiteľ s repozitárom útočníka.
- CVE-2024-52006 — vo vykonaní protokolu „credential helper“, používaného na prenos prihlasovacích údajov pri komunikácii s repozitármi s obmedzeným prístupom, bola zaznamenaná nedostatočnosť, ktorá umožňuje vloženie cez znak návratu na začiatok riadku prostredníctvom špeciálne upraveného URL. Vzhľadom na to, že protokol manipuluje s riadkovými údajmi, môže byť pridanie znaku návratu na začiatok riadku použité na rozdelenie blokov údajov a zabezpečenie prenosu hesla na nesprávne server. Možnosť uskutočnenia útoku závisí od interpretácie znaku návratu na začiatok riadku ako oddeľovača riadkov v rôznych realizáciách protokolu „credential helper“. Napríklad, na problém je citlivý Git Credential Manager napísaný v C#/.NET.
Používateľom, ktorí nemajú možnosť aktualizovať Git, sa odporúča vyhnúť sa prístupu k neovereným externým repozitárom pomocou príkazu „git clone“ s praporkom „—recurse-submodules“, ako aj vylúčiť použitie správcov prihlasovacích údajov pri klonovaní verejných repozitárov. Okrem samotného Gitu boli opravy na blokovanie týchto zraniteľností vydané aj pre GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) a Git Credential Manager (CVE-2024-50338).
Zdroj: opennet.ru
