AG公司云
「误差通告」Git宣布凭证泄露误差（CVE-2020-5260）
2020-04-16
克日，Git宣布清静通告宣布了一个可能泄露Git用户凭证的误差（CVE-2020-5260）。
Git使用凭证助手(credential helper)来资助用户存储和检索凭证。可是当一个URL中包括经由编码的换行符时，可能将非预期的值注入到credential helper的协议流中。这将使恶意URL诱骗Git客户端去向攻击者发送主机凭证。当使用受影响版本 Git对恶意 URL 执行 git clone 下令时会触发该误差。
参考链接：
https://github.com/git/git/security/advisories/GHSA-qm7j-c969-7j4q
受影响版本
- Git 2.17.x <= 2.17.3
- Git 2.18.x <= 2.18.2
- Git 2.19.x <= 2.19.3
- Git 2.20.x <= 2.20.2
- Git 2.21.x <= 2.21.1
- Git 2.22.x <= 2.22.2
- Git 2.23.x <= 2.23.1
- Git 2.24.x <= 2.24.1
- Git 2.25.x <= 2.25.2
- Git 2.26.x <= 2.26.0
不受影响版本
- Git 2.17.4
- Git 2.18.3
- Git 2.19.4
- Git 2.20.3
- Git 2.21.2
- Git 2.22.3
- Git 2.23.2
- Git 2.24.2
- Git 2.25.3
- Git 2.26.1
解决计划
官方已宣布修复了误差的新版本，建议受影响用户实时下载更新。
https://github.com/git/git/releases
另外，还提供了其他要领解决或规避该问题：
- 禁用credential helper
|
1
2
3
|
git config --unset credential.helper
git config --global --unset credential.helper
git config --system --unset credential.helper
|
- 提防恶意URL
- git clone时检查URL的主机名和用户名部分是否保存编码的换行符（%0a）或凭证协议注入的证据（例如host=github.com）
- 阻止将子�？橛氩皇苄磐械目驼灰黄鹗褂茫ú灰褂� clone –recurse-submodules ；只有在检查.gitmodules中找到url之后，才使用git submodule update）。
- 阻止对不信托的URL执行 git clone。
