ÄtgÀrdande versioner av det distribuerade systemet för hantering av kÀllkod Git 2.26.1, 2.25.3, 2.24.2, 2.23.2, 2.22.3, 2.21.2, 2.20.3, 2.19.4, 2.18.3 och 2.17.4, dÀr () i hanteraren ««, vilket leder till att autentiseringsuppgifter skickas till fel vÀrd nÀr en git-klient ansluter till ett repository via en speciellt formaterad URL som innehÄller en radbrytning. SÄrbarheten kan anvÀndas för att skicka autentiseringsuppgifter frÄn en annan vÀrd till en server som kontrolleras av angriparen.
Vid angivande av en URL i formatet "https://evil.com?host=github.com/" kommer autentiseringshanteraren vid anslutning till vÀrden evil.com att överföra autentiseringsparametrarna som anges för github.com. Problemet uppstÄr vid utförande av sÄdana operationer som "git clone", inklusive vid bearbetning av URL:er för submoduler (till exempel kommer URL:er som anges i filen .gitmodules frÄn repository automatiskt att bearbetas vid körning av "git submodule update"). SÄrbarheten utgör den största risken i situationer dÀr utvecklaren klonar ett repository utan att se URL:en, som vid arbete med submoduler, eller i system som utför automatiska ÄtgÀrder, sÄsom i paketbyggnads-skript.
För att stoppa sÄrbarheten i de nya versionerna överföringen av radbrytningssymbolen i alla vÀrden som överförs via autentiseringsprotokollet. För distributioner kan man följa utgivningen av paketuppdateringar pÄ sidorna , , , , , , .
Som en tillfÀllig lösning för att blockera problemet att inte anvÀnda credential.helper vid Ätkomst till publika repositories och att inte anvÀnda «git clone» i lÀget «--recurse-submodules» med osÀkra repositories. För att helt inaktivera hanteraren credential.helper, som utför och hÀmtning av lösenord frÄn , skyddad eller fil med lösenord, kan kommandon anvÀndas:
git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper
KĂ€lla: opennet.ru
