CVE-2020-5260

Git'in etkilenen sürümleri, Git'in özel kimlik bilgilerini saldırgan tarafından kontrol edilen bir ana bilgisayara göndermeye zorlanabildiği bir güvenlik açığına sahiptir. Git, şifreleri veya diğer kimlik bilgilerini işletim sistemi tarafından sağlanan güvenli depolama alanlarında saklamak ve geri çağırmak için harici "credential helper" programları kullanır. Kodlanmış bir yeni satır içeren özel olarak hazırlanmış URL'ler, credential helper protokol akışına istenmeyen değerler enjekte edebilir; bu durum, başka bir sunucuya (örneğin, evil.example.com) yapılan bir HTTP isteği için credential helper'ın farklı bir sunucunun (örneğin, good.example.com) şifresini getirmesine ve sonuç olarak ilk sunucuya ait kimlik bilgilerinin ikinciye gönderilmesine neden olur. İkisi arasındaki ilişkiye dair herhangi bir kısıtlama yoktur, yani bir saldırgan, herhangi bir ana bilgisayar için saklanan kimlik bilgilerini kendi seçtiği bir ana bilgisayara sunacak bir URL hazırlayabilir. Güvenlik açığı, git clone komutuna kötü amaçlı bir URL verilerek tetiklenebilir. Ancak, etkilenen URL'ler oldukça şüpheli görünmektedir; olası vektör, Git alt modülleri veya Git tabanlı paket sistemleri gibi kullanıcıya görünmeyen URL'leri otomatik olarak klonlayan sistemler olacaktır. Sorun, v2.17.x sürümüne kadar uzanan ve 14 Nisan 2020 tarihinde yayınlanan sürümlerde düzeltilmiştir. Değişikliği daha eski sürümlere uygulamak isteyenler, 9a6bbee commit'ini uygulayarak bunu yapabilirler (tam sürüm git fsck için ek kontroller içerir ancak söz konusu commit, istemcileri güvenlik açığına karşı korumak için yeterlidir). Yamalanmış sürümler şunlardır: 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.