CVE-2020-5260

요약

영향을 받는 Git 버전에는 Git이 공격자가 제어하는 호스트로 개인 자격 증명을 보내도록 속일 수 있는 취약점이 있습니다. Git은 운영 체제가 제공하는 보안 저장소에서 비밀번호 또는 기타 자격 증명을 저장하고 검색하기 위해 외부 "credential helper" 프로그램을 사용합니다. 인코딩된 줄바꿈(newline)을 포함하는 특수하게 조작된 URL은 credential helper 프로토콜 스트림에 의도하지 않은 값을 주입할 수 있습니다. 이로 인해 credential helper가 다른 서버(예: evil.example.com)로 전송되는 HTTP 요청에 대해 한 서버(예: good.example.com)의 비밀번호를 검색하게 되어, 전자의 자격 증명이 후자로 전송되는 결과가 발생합니다. 두 서버 간의 관계에는 제한이 없으므로, 공격자는 저장된 자격 증명을 임의의 호스트에 대해 자신이 선택한 호스트로 제시하는 URL을 조작할 수 있습니다. 이 취약점은 악성 URL을 git clone에 제공하여 트리거할 수 있습니다. 그러나 영향을 받는 URL은 상당히 의심스러워 보입니다. 가능성 있는 공격 경로는 사용자에게 보이지 않는 URL을 자동으로 클론하는 시스템, 예를 들어 Git 서브모듈이나 Git 기반 패키지 시스템을 통한 것입니다. 이 문제는 2020년 4월 14일에 게시된 버전(v2.17.x까지 소급)에서 패치되었습니다. 이 변경 사항을 더 이전 버전으로 백포트하려는 경우 commit 9a6bbee를 적용하면 됩니다. (전체 릴리스에는 git fsck에 대한 추가 검사가 포함되어 있지만, 해당 커밋만으로도 클라이언트를 취약점으로부터 보호하기에 충분합니다.) 패치된 버전은 다음과 같습니다: 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.

• cve-2020-5260PoC

  Heroku에 배포할 수 있는 cve-2020-5260용 HTTP PoC 엔드포인트

• CVE-2020-5260PoC

  CVE-2020-5260 데모 기록

• CVE-2020-5260