搜索

[28257] 2020-04-18_CVE-2020-5260Git输入验证错误漏洞通告

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2020-04-18_CVE-2020-5260Git输入验证错误漏洞通告 C V E - 2 0 2 0 - 5 2 6 0 |   G i t 输 入 验 证 错 误 漏 洞 通 告 启 明 星 辰   O t s 安 全   2 0 2 0 - 0 4 - 1 8 0 x 0 0   漏 洞 概 述 漏 洞 概 述 C V E       I D C V E - 2 0 2 0 - 5 2 6 0 时         间 2 0 2 0 - 0 4 - 1 7 类         型 I V E 等         级 严 重 远 程 利 用 是 影 响 范 围 G i t   2 . 1 7 . x   < =   2 . 1 7 . 3 G i t   2 . 1 8 . x   < =   2 . 1 8 . 2 G i t   2 . 1 9 . x   < =   2 . 1 9 . 3 G i t   2 . 2 0 . x   < =   2 . 2 0 . 2 G i t   2 . 2 1 . x   < =   2 . 2 1 . 1 G i t   2 . 2 2 . x   < =   2 . 2 2 . 2 G i t   2 . 2 3 . x   < =   2 . 2 3 . 1 G i t   2 . 2 4 . x   < =   2 . 2 4 . 1 G i t   2 . 2 5 . x   < =   2 . 2 5 . 2 G i t   2 . 2 6 . x   < =   2 . 2 6 . 0 0 x 0 1   漏 洞 详 情 漏 洞 详 情 G i t 是 一 套 免 费 、 开 源 的 分 布 式 版 本 控 制 系 统 ， 旨 在 快 速 高 效 地 处 理 从 小 型 到 大 型 项 目 的 所 有 内 容 。 4 月 1 4 日 ， G i t 公 布 了 一 个 输 入 验 证 错 误 漏 洞 （ C V E - 2 0 2 0 - 5 2 6 0 ） , 该 漏 洞 会 导 致 G i t 用 户 凭 证 泄 露 。 G i t 使 用 凭 证 助 手 ( c r e d e n t i a l   h e l p e r ) 来 帮 助 用 户 存 储 和 检 索 凭 证 。 当 U R L 中 包 含 经 过 编 码 的 换 行 符 （ % 0 a ） 时 ， 可 能 将 非 预 期 的 值 注 入 到 c r e d e n t i a l   h e l p e r 的 协 议 流 中 。 导 致 凭 证 助 手 检 索 一 个 服 务 器 的 密 码 ， 向 另 一 个 服 务 器 发 出 H T T P 请 求 ， 使 前 者 的 凭 据 发 送 到 后 者 ， 而 且 两 者 之 间 的 关 系 没 有 任 何 限 制 。 这 意 味 着 攻 击 者 可 以 制 作 一 个 U R L ， 该 U R L 将 向 其 选 择 的 主 机 提 供 任 何 主 机 的 存 储 凭 据 。 受 影 响 版 本   G i t 对 恶 意   U R L   执 行   g i t   c l o n e   命 令 时 会 触 发 此 漏 洞 ， 攻 击 者 可 利 用 恶 意 U R L 欺 骗 G i t 客 户 端 发 送 主 机 凭 据 。
0 x 0 2   处 置 建 议 处 置 建 议 升 级 补 丁 ， 下 载 链 接 ： h t t p s : / / g i t h u b . c o m / g i t / g i t / r e l e a s e s 临 时 措 施 ： 临 时 措 施 ： 禁 用 c r e d e n t i a l   h e l p e r ： g i t   c o n f i g   - - u n s e t   c r e d e n t i a l . h e l p e r g i t   c o n f i g   - - g l o b a l   - - u n s e t   c r e d e n t i a l . h e l p e r g i t   c o n f i g   - - s y s t e m   - - u n s e t   c r e d e n t i a l . h e l p e r 避 免 恶 意 避 免 恶 意 U R L : 1 .   g i t   c l o n e 时 检 查 U R L 的 主 机 名 和 用 户 名 部 分 是 否 存 在 编 码 的 换 行 符 （ % 0 a ） 或 凭 据 协 议 注 入 的 证 据 （ 例 如 h o s t = g i t h u b . c o m ） ； 2 .   避 免 将 子 模 块 与 不 受 信 任 的 存 储 库 一 起 使 用 （ 不 要 使 用 c l o n e   - - r e c u r s e - s u b m o d u l e s ； 仅 在 检 查 . g i t m o d u l e s 中 的 U R L 之 后 才 使 用 g i t 子 模 块 更 新 ） ； 3 .   避 免 对 不 信 任 的 U R L 执 行   g i t   c l o n e 。 0 x 0 3   相 关 新 闻 相 关 新 闻 h t t p s : / / w w w . s u s e . c o m / s e c u r i t y / c v e / C V E - 2 0 2 0 - 5 2 6 0 / 0 x 0 4   参 考 链 接 参 考 链 接 h t t p s : / / n v d . n i s t . g o v / v u l n / d e t a i l / C V E - 2 0 2 0 - 5 2 6 0 h t t p s : / / g i t h u b . c o m / g i t / g i t / s e c u r i t y / a d v i s o r i e s / G H S A - q m 7 j - c 9 6 9 - 7 j 4 q 0 x 0 5   时 间 线 时 间 线 2 0 2 0 - 0 4 - 1 4   G i t 发 布 公 告 2 0 2 0 - 0 4 - 1 4   C V E 发 布 该 漏 洞
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理