CVE-2020-5260| Git输入验证谬误缝隙公告

颁布功夫 2020-04-17

0x00 缝隙概述


CVE   ID

CVE-2020-5260

时    间

2020-04-17

类    型

IVE

等    级

严沉

远程利用

是

影响领域

Git 2.17.x <= 2.17.3

Git 2.18.x <= 2.18.2

Git 2.19.x <= 2.19.3

Git 2.20.x <= 2.20.2

Git 2.21.x <= 2.21.1

Git 2.22.x <= 2.22.2

Git 2.23.x <= 2.23.1

Git 2.24.x <= 2.24.1

Git 2.25.x <= 2.25.2

Git 2.26.x <= 2.26.0


0x01 缝隙详情

GA黄金甲·(中国区)官方网站



Git是一套免费、开源的散布式版本节造系统，旨在急剧高效地处置从幼型到大型项主张所有内容。


4月14日，Git颁布了一个输入验证谬误缝隙（CVE-2020-5260）,该缝隙会导致Git用户凭证泄露。


Git使用凭证副手(credential helper)来援手用户存储和检索凭证。当URL中蕴含经过编码的换行符（%0a）时，可能将非预期的值注入到credential helper的和谈流中。导致凭证副手检索一个服务器的密码，向另一个服务器发出HTTP要求，使前者的痛处发送到后者，并且两者之间的关系没有任何限度。这意味着攻击者能够造作一个URL，该URL将向其选择的主机提供任何主机的存储痛处。受影响版本 Git对恶意 URL 执行 git clone 号令时会触发此缝隙，攻击者可利用恶意URL糊弄Git客户端发送主机痛处。


0x02 措置建议


升级补丁，下载链接：

https://github.com/git/git/releases


一时措施：


禁用credential helper：

git config --unset credential.helper

git config --global --unset credential.helper

git config --system --unset credential.helper


预防恶意URL:

1. git clone时查抄URL的主机名和用户名部门是否存在编码的换行符（%0a）或痛处和谈注入的证据（例如host=github.com）；

2. 预防将子� ？橛氩皇苄爬档拇娲⒖庖宦肥褂茫ú灰褂胏lone --recurse-submodules；仅在查抄.gitmodules中的URL之后才使用git子� ？楦拢�；

3. 预防对不信赖的URL执行 git clone。


0x03 有关新闻


https://www.suse.com/security/cve/CVE-2020-5260/


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-5260

https://github.com/git/git/security/advisories/GHSA-qm7j-c969-7j4q


0x05 功夫线


2020-04-14 Git颁布布告

2020-04-14 CVE颁布该缝隙