CVE-2020-5260

Zusammenfassung

Betroffene Versionen von Git weisen eine Schwachstelle auf, durch die Git dazu gebracht werden kann, private Anmeldedaten an einen von einem Angreifer kontrollierten Host zu senden. Git verwendet externe „Credential Helper“-Programme, um Passwörter oder andere Anmeldedaten aus einem vom Betriebssystem bereitgestellten sicheren Speicher zu speichern und abzurufen. Speziell präparierte URLs, die einen kodierten Zeilenumbruch enthalten, können unbeabsichtigte Werte in den Credential-Helper-Protokollstrom injizieren, wodurch der Credential Helper das Passwort für einen Server (z. B. good.example.com) für eine HTTP-Anfrage abruft, die an einen anderen Server (z. B. evil.example.com) gestellt wird, was dazu führt, dass Anmeldedaten für Ersteren an Letzteren gesendet werden. Es gibt keine Einschränkungen hinsichtlich der Beziehung zwischen den beiden, was bedeutet, dass ein Angreifer eine URL erstellen kann, die gespeicherte Anmeldedaten für einen beliebigen Host an einen Host seiner Wahl übermittelt. Die Schwachstelle kann ausgelöst werden, indem eine bösartige URL an git clone übergeben wird. Die betroffenen URLs sehen jedoch recht verdächtig aus; der wahrscheinlichste Vektor wären Systeme, die URLs automatisch klonen, die für den Benutzer nicht sichtbar sind, wie etwa Git-Submodule oder auf Git basierende Paketsysteme. Das Problem wurde in den am 14. April 2020 veröffentlichten Versionen behoben, beginnend mit v2.17.x. Wer die Änderung weiter zurückportieren möchte, kann dies tun, indem er den Commit 9a6bbee anwendet (die vollständige Version enthält zusätzliche Prüfungen für git fsck, aber dieser Commit reicht aus, um Clients vor der Schwachstelle zu schützen). Die gepatchten Versionen sind: 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.

• cve-2020-5260PoC

  Ein HTTP-PoC-Endpunkt für CVE-2020-5260, der auf Heroku bereitgestellt werden kann