Cập nhật Git với một lỗ hổng khác đã được sửa

Được phát hành bản phát hành khắc phục của hệ thống kiểm soát nguồn phân tán Git 2.26.2, 2.25.4, 2.24.3, 2.23.3, 2.22.4, 2.21.3, 2.20.4, 2.19.5, 2.18.4 và 2.17.5, trong đã loại bỏ sự dễ bị tổn thương (CVE-2020-11008), làm nhớ lại vấn đề, bị loại vào tuần trước. Lỗ hổng mới cũng ảnh hưởng đến trình xử lý "credential.helper" và bị khai thác khi truyền một URL được định dạng đặc biệt chứa ký tự dòng mới, máy chủ trống hoặc sơ đồ yêu cầu không xác định. Khi xử lý một URL như vậy, credential.helper sẽ gửi thông tin về thông tin xác thực không khớp với giao thức được yêu cầu hoặc máy chủ đang được truy cập.

Không giống như vấn đề trước, khi khai thác một lỗ hổng mới, kẻ tấn công không thể trực tiếp kiểm soát máy chủ mà thông tin đăng nhập của người khác sẽ được chuyển từ đó. Thông tin xác thực nào bị rò rỉ tùy thuộc vào cách xử lý tham số “máy chủ” bị thiếu trong credential.helper. Cốt lõi của vấn đề là các trường trống trong URL được nhiều trình xử lý credential.helper hiểu là hướng dẫn áp dụng bất kỳ thông tin xác thực nào cho yêu cầu hiện tại. Do đó, credential.helper có thể gửi thông tin xác thực được lưu trữ cho máy chủ khác đến máy chủ của kẻ tấn công được chỉ định trong URL.

Sự cố xảy ra khi thực hiện các thao tác như "git clone" và "gitfetch", nhưng nguy hiểm nhất là khi xử lý mô-đun con - khi thực hiện "cập nhật mô-đun con git", các URL được chỉ định trong tệp .gitmodules từ kho lưu trữ sẽ được xử lý tự động. Như một cách giải quyết để ngăn chặn vấn đề đề nghị Không sử dụng credential.helper khi truy cập các kho lưu trữ công cộng và không sử dụng "git clone" trong chế độ "--recurse-submodules" với các kho lưu trữ không được kiểm tra.

Được cung cấp trong các bản phát hành Git mới sự sửa chữa ngăn việc gọi credential.helper cho các URL chứa những giá trị không thể biểu diễn được (ví dụ: khi chỉ định ba dấu gạch chéo thay vì hai dấu gạch chéo - “http:///host” hoặc không có sơ đồ giao thức - “http::ftp.example.com/”). Sự cố này ảnh hưởng đến kho lưu trữ (bộ lưu trữ thông tin xác thực Git tích hợp), bộ đệm (bộ đệm tích hợp của thông tin xác thực đã nhập) và trình xử lý osxkeychain (bộ lưu trữ macOS). Trình xử lý Trình quản lý thông tin xác thực Git (kho lưu trữ Windows) không bị ảnh hưởng.

Bạn có thể theo dõi việc phát hành các bản cập nhật gói trong các bản phân phối trên các trang Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, ALT, FreeBSD.

Nguồn: opennet.ru