Git用戶憑證泄露漏洞,git存儲庫高危漏洞怎么用

Git用戶憑據泄露漏洞

2020年4月15日，Git發布安全公告，公布了一個導致Git用戶憑證泄露的漏洞(CVE20205260)。Git使用憑證助手來幫助用戶存儲和檢索憑證。

當URL包含編碼的換行符(%0a)時，意外值可能會被注入到憑據幫助程序的協議流中。當受影響的git版本在惡意URL上執行git clone命令時，將觸發此漏洞，攻擊者可以使用惡意URL欺騙Git客戶端發快遞主機憑據。

漏洞號

CVE20205260

漏洞名稱

Git用戶憑據泄露漏洞

影響范圍

影響版本

Git 2.17.x=2.17.3

Git 2.18.x=2.18.2

Git 2.19.x=2.19.3

Git 2.20.x=2.20.2

Git 2.21.x=2.21.1

Git 2.22.x=2.22.2

Git 2.23.x=2.23.1

Git 2.24.x=2.24.1

Git 2.25.x=2.25.2

Git 2.26.x=2.26.0

安全版本

Git 2.17

Git 2.18

Git 2.19

Git 2.20

Git 2

Git 2.22

Git 2.23

Git 2

Git 2.25

Git 2.26

官網解決方案

目前官方已經在最新版本中修復了該漏洞。請受影響的用戶及時升級到安全版本。

官方下載鏈接:https://github.com/git/git/releases

檢測和維修建議

華為云企業主機安全服務可以方便地檢測并修復該漏洞。

1.檢查并查看漏洞的詳細信息，如圖1所示。詳細操作步驟請參考查看漏洞詳情。

圖1手動檢測漏洞

2.漏洞修復和驗證。詳細操作步驟請參考漏洞修復與驗證。

其他保護建議

如果暫時無法升級，也可以采取以下措施進行保護:

方法1:使用以下命令禁用憑據幫助程序

git配置取消設置憑據。helper

git configglobalunset credential . helper

git configsystemunset credential . helper

方法二:提高警惕，避免惡意網址。

1.使用git clone時，檢查URL的主機名和用戶名中是否有編碼的換行符(%0a)或憑據協議注入的證據(例如:host=github.com)。

2.避免使用不可信倉庫的子模塊(不要使用clone clonerecursesub modules；；僅在檢查中找到的url后使用git子模塊更新。gitmodules)。

3.不要在不受信任的URL上執行git克隆。

特別聲明：以上文章內容僅代表作者本人觀點，不代表ESG跨境電商觀點或立場。如有關于作品內容、版權或其它問題請于作品發表后的30日內與ESG跨境電商聯系。