CVE-2020-26233

Git Credential Manager Core (GCM Core), Windows ve macOS üzerinde çalışan, .NET Core tabanlı güvenli bir Git kimlik bilgisi yardımcısıdır. 2.0.289 sürümü öncesindeki Git Credential Manager Core'da, Windows üzerinde alt modülleri olan bir Git deposu özyinelemeli olarak klonlandığında, Git önce üst düzey depoyu klonlar ve ardından üst düzey çalışma dizininden yeni Git süreçleri başlatarak tüm alt modülleri özyinelemeli olarak klonar. Üst düzey depoda kötü amaçlı bir git.exe yürütülebilir dosyası mevcutsa, yapılandırmayı okumaya çalışırken %PATH% üzerinde bulunan git.exe yerine bu ikili dosya Git Credential Manager Core tarafından başlatılır. Bu durum yalnızca Windows üzerindeki GCM Core'u etkiler; macOS veya Linux tabanlı dağıtımları etkilemez. GCM Core sürüm 2.0.289, bu güvenlik açığı için düzeltmeyi içerir ve projenin GitHub sürümler sayfasından temin edilebilir. GCM Core 2.0.289 ayrıca en son Git for Windows sürümü olan 2.29.2(3) ile birlikte sunulmaktadır. Geçici bir çözüm olarak kullanıcılar, güvenilmeyen depoları --recurse-submodules seçeneğiyle özyinelemeli olarak klonlamaktan kaçınmalıdır.