Git-uppdatering med ytterligare en säkerhetsåtgärd

Publicerade korrektivutgåvor av det distribuerade systemet för hantering av källtexter Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 och 2.17.5, där problemet har åtgärdats sårbarhet (CVE-2020-11008), som påminner om problemet, som åtgärdades förra veckan. Den nya sårbarheten påverkar också "credential.helper"-hanterarna och utnyttjas vid överföring av en specifikt formaterad URL som innehåller en radbrytning, en tom värd eller en ogiltig begäranschema. Vid behandling av en sådan URL skickar credential.helper information om legitimationer som inte överensstämmer med den begärda protokoll eller värd som anropas.

Till skillnad från det förra problemet kan angriparen vid utnyttjande av den nya sårbarheten inte direkt kontrollera värden, från vilket främmande legitimationer kommer att skickas. Vilka legitimationer som läcker beror på hur den saknade "host"-parametern behandlas i credential.helper. Problemet är att tomma fält i URL tolkas av många credential.helper-hanterare som instruktioner att använda vilka legitimationer som helst för den aktuella begäran. Därmed kan credential.helper skicka legitimationer som sparats för en annan server till den server som anges i URL:en av angriparen.

Problemet uppstår vid utförande av operationer som "git clone" och "git fetch", men är mest farligt vid hantering av delmoduler — när "git submodule update" utförs, hanteras automatiskt URL:er angivna i .gitmodules-filen från förrådet. Som en arbetsrunda för att blockera problemet rekommenderas är att inte använda credential.helper vid åtkomst till offentliga förråd och att inte använda "git clone" i läget "—recurse-submodules" med osäkra förråd.

Det som föreslås i de nya utgåvorna av Git fix förbjuder anrop av credential.helper för URL:er som innehåller oacceptabla värden (till exempel genom att ange tre snedstreck istället för två — "http:///host" eller utan protokollschema — "http::ftp.example.com/"). Problemet påverkar lagrarna store (inbyggd hantering av Git-legitimationer), cache (inbyggt cache av inmatade legitimationer) och osxkeychain (lagring för macOS). Git Credential Manager (lagring för Windows) är inte sårbart för denna sårbarhet.

Övervaka paketsuppdateringar i distributioner kan göras på sidorna Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Källa: opennet.ru