Objavljene so popravkovne različice distribuiranega sistema za upravljanje izvorne kode Git 2.41.3, 2.42.4, 2.43.6, 2.44.3, 2.45.3, 2.46.3, v2.47.2 in 2.48.1, v katerih so bile odpravljene dve ranljivosti:
- CVE-2024-50349 — možnost zamenjave informacij v interaktivnem pozivu za geslo do repozitorija. Težava je posledica pomanjkljive preverjanja imena gostitelja, kjer so bili dovoljeni znaki v formatu %xx (URL kodiranje). Napadalec je lahko uporabil odstotkovno kodiranje za dodajanje pobeglih zaporedij v ime gostitelja, ki manipulirajo z izhodom na terminal.
Na ta način lahko zamenjate besedilo poziva za avtentikacijo in ustvarite pri uporabniku občutek, da se obrača na drug repozitorij, tako da pri dostopu do napadalčevega repozitorija uporabnik vnese uporabniško ime in geslo za drugega gostitelja. Napad se lahko izvede pri rekurzivnem kloniranju podmodulov z ukazom „git clone —recurse-submodules“, pri katerem lahko eden od podmodulov zahteva geslo za drugega gostitelja, vendar bo vnos poslan na gostitelja z napadalčevim repozitorijem.
- CVE-2024-52006 — v implementaciji protokola „credential helper“, ki se uporablja za prenos poverilnic pri dostopu do repozitorijev z omejenim dostopom, je bila odkrita pomanjkljivost, ki omogoča vstavljanje znaka za povratek vrstice skozi posebej oblikovano URL. Ker protokol manipulira s podatki po vrsticah, se lahko dodajanje povratnega vrstice uporablja za ločevanje blokov podatkov in organizacijo prenosa gesla na napačno strežnik. Možnost napada je odvisna od interpretacije znaka za povratek vrstice kot ločila vrstic v različicah protokola „credential helper“. Na primer, težava se pojavlja v Git Credential Manager, napisanem v C#/.NET.
Uporabnikom, ki nimajo možnosti posodobitve Gita, se priporoča, da se izognejo dostopu do nepreverjenih zunanjih repozitorijev z ukazom „git clone“ s zastavico „—recurse-submodules“, prav tako pa naj se izogibajo uporabi obdelovalnikov poverilnic pri kloniranju javnih repozitorijev. Poleg samega Gita so bila izdana popravila za blokiranje teh ranljivosti tudi za GitHub Desktop (CVE-2025-23040), Git LFS (CVE-2024-53263) in Git Credential Manager (CVE-2024-50338).
Izvor: opennet.ru
