korrigjueset e lëshimeve të sistemit të shpërndarë të menaxhimit të kodeve burimore Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 dhe 2.17.4, në të cilat është eliminuar () në përpunuesin "" që çon në dërgimin e kredencialeve në host-in e gabuar kur klienti git lidhet me një depozitë përmes një URL-je të formatuar veçanërisht, duke përfshirë simbolet e linjës së re. Kjo ndjeshmëri mund të përdoret për të organizuar dërgimin në serverin e kontrolluar nga sulmuesi, të dhënave të tjera nga një host i ndryshëm.
Kur caktimi i URL-së është si "https://evil.com?host=github.com/", trajtuesi i kredencialeve gjatë lidhjes me hostin evil.com do të transmetojë parametrat e autentikimit të caktuar për github.com. Problemi shfaqet gjatë kryerjes së operacioneve të tilla si "git clone", përfshirë kur procesi trajton URL-të për submodulet (për shembull, gjatë ekzekutimit të "git submodule update" do të trajtohen automatikisht URL-të e caktuara në skedarin .gitmodules nga repository). Vulnerabiliteti paraqet rrezikun më të madh në situata kur një zhvillues kryen klonimin e repository-t pa parë URL-në, për shembull, kur punon me submodulet, ose në sisteme që kryejnë veprime automatike, si në skriptet e ndërtimit të paketave.
Për të bllokuar ndjeshmërinë në versionet e reja kalimi i simbolit të linjës së re në çdo vlerë që dërgohet përmes këtij protokolli të shkëmbimit të kredencialeve. Për shpërndarjet, mund të ndiqni lëshimin e përditësimeve të paketave në faqet , , , , , , .
Si njĂ« zgjidhje pĂ«r tĂ« bllokuar problemin mos pĂ«rdorni credential.helper kur lidheni me depozita publike dhe mos aplikoni "git clone" nĂ« modalitetin "ârecurse-submodules" me depozita tĂ« pa verifikuara. PĂ«r tĂ« çaktivizuar plotĂ«sisht pĂ«rpunuesin credential.helper, i cili kryen dhe tĂ«rheqjen e fjalĂ«kalimeve nga , e mbrojtur ose skedari me fjalĂ«kalime, mund tĂ« pĂ«rdorni komandat:
git config âunset credential.helper
git config âglobal âunset credential.helper
git config âsystem âunset credential.helper
Burimi: opennet.ru
