低危 Git凭证泄露漏洞
CVE编号
CVE-2020-5260利用情况
POC 已公开补丁情况
官方补丁披露时间
2020-04-15漏洞描述
受影响的Git版本存在一个漏洞，可以诱骗Git向攻击者控制的主机发送私有凭据。 Git使用外部“凭据帮助程序”来存储和检索操作系统提供的安全存储中的密码或其他凭据。包含编码换行符的特制URL可以将意想不到的值注入到凭据帮助程序协议流中，从而导致凭据帮助程序检索一台服务器（例如good.example.com）的密码，以向另一台服务器发出HTTP请求（例如：evil.example.com），从而导致前者的凭据发送到后者。两者之间的关系没有任何限制，这意味着攻击者可以制作一个URL，该URL将向其选择的主机提供任何主机的存储凭据。可以通过向git clone提供恶意URL来触发此漏洞。但是，受影响的URL看起来可疑。可能的媒介是通过自动克隆用户不可见的URL的系统（例如Git子模块）或围绕Git构建的打包系统。该问题已在2020年4月14日发布的版本中修复，可追溯到v2.17.x。任何希望进一步移植变更的人都可以通过应用commit 9a6bbee来做到这一点（完整发行版包括对git fsck的额外检查，但是该提交足以保护客户端免受漏洞攻击）。修补的版本为：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://github.com/git/git/security/advisories/GHSA-qm7j-c969-7j4q受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | Up to (excluding) 2.17.4 | |||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.18.0 | Up to (excluding) 2.18.3 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.19.0 | Up to (excluding) 2.19.4 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.20.0 | Up to (excluding) 2.20.3 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.21.0 | Up to (excluding) 2.21.2 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.22.0 | Up to (excluding) 2.22.3 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.23.0 | Up to (excluding) 2.23.2 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.24.0 | Up to (excluding) 2.24.2 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.25.0 | Up to (excluding) 2.25.3 | ||||
| 运行在以下环境 | |||||||||
| 应用 | git | git | * | From (including) 2.26.0 | Up to (excluding) 2.26.1 | ||||
| 运行在以下环境 | |||||||||
| 系统 | redhat_7 | emacs-git | * | Up to (excluding) 0:1.8.3.1-22.el7_8 | |||||
| 运行在以下环境 | |||||||||
| 系统 | suse_12 | git | * | Up to (excluding) 2.26.2-27.36 | |||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_16.04.7_lts | git | * | Up to (excluding) 1:2.7.4-0ubuntu1.8 | |||||
| 运行在以下环境 | |||||||||
| 系统 | ubuntu_18.04.5_lts | git | * | Up to (excluding) 1:2.17.1-1ubuntu0.6 | |||||
- 攻击路径 远程
- 攻击复杂度 复杂
- 权限要求 无需权限
- 影响范围 有限影响
- EXP成熟度 POC 已公开
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 100
| CWE-ID | 漏洞类型 |
| CWE-522 | 不充分的凭证保护机制 |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论