CVE-2020-5260

Git-in təsirlənmiş versiyalarında, Git-i gizli etibarlılıq məlumatlarını hücumçunun nəzarətində olan hosta göndərməyə sövq edə bilən bir boşluq mövcuddur. Git, şifrələri və ya digər etibarlılıq məlumatlarını əməliyyat sistemi tərəfindən təmin edilən təhlükəsiz yaddaşda saxlamaq və geri çağırmaq üçün xarici "credential helper" proqramlarından istifadə edir. Kodlaşdırılmış yeni sətir ehtiva edən xüsusi hazırlanmış URL-lər, credential helper protokol axınına gözlənilməz dəyərlər yerləşdirə bilər ki, bu da credential helper-in başqa bir serverə (məsələn, evil.example.com) edilən HTTP sorğusu üçün birinci serverin (məsələn, good.example.com) şifrəsini geri çağırmasına səbəb olur və nəticədə birinciyə aid etibarlılıq məlumatları ikincisinə göndərilir. Bu iki host arasındakı əlaqə ilə bağlı heç bir məhdudiyyət yoxdur, yəni hücumçu hər hansı bir host üçün saxlanılan etibarlılıq məlumatlarını öz seçdiyi hosta təqdim edəcək URL hazırlaya bilər. Boşluq, git clone əmrinə zərərli URL ötürülməklə tetiklene bilər. Lakin, təsirlənən URL-lər kifayət qədər şübhəli görünür; ehtimal olunan vektor, Git submodulları və ya Git əsasında qurulmuş paket sistemləri kimi, istifadəçi üçün görünməyən URL-ləri avtomatik klonlayan sistemlər vasitəsilə ola bilər. Problem 14 aprel 2020-ci ildə dərc edilmiş versiyalarda, v2.17.x-ə qədər olanlarda aradan qaldırılmışdır. Dəyişikliyi daha köhnə versiyalara tətbiq etmək istəyənlər bunu 9a6bbee commit-ini tətbiq etməklə edə bilərlər (tam buraxılış git fsck üçün əlavə yoxlamaları ehtiva edir, lakin həmin commit müştəriləri boşluqdan qorumaq üçün kifayətdir). Yamaqlanmış versiyalar bunlardır: 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.