Este conteúdo foi traduzido por máquina para sua conveniência e a Huawei Cloud não pode garantir que o conteúdo foi traduzido com precisão. Para exibir o conteúdo original, use o link no canto superior direito para mudar para a página em inglês.

Nesta página

Mostrar todos

Central de ajuda/ Host Security Service/ Melhores práticas/ Detecção e correção de vulnerabilidades/ Vulnerabilidade de divulgação de credenciais do Git (CVE-2020-5260)

Vulnerabilidade de divulgação de credenciais do Git (CVE-2020-5260)

Atualizado em 2024-09-29 GMT+08:00

Ver PDF

O Git emitiu um boletim de segurança anunciando uma vulnerabilidade que poderia revelar as credenciais de usuário do Git (CVE-2020-5260). O Git usa um auxiliar de credenciais para armazenar e recuperar credenciais.

Mas quando um URL contém uma nova linha codificada (%0a), ele pode injetar valores inesperados no fluxo de protocolo do auxiliar de credenciais. Essa vulnerabilidade é acionada quando a versão afetada do Git é usada para executar um comando git clone em um URL malicioso.

ID da vulnerabilidade

CVE-2020-5260

Nome da vulnerabilidade

Vulnerabilidade de divulgação de credenciais do Git

Escopo do impacto

Versões afetadas:

Git 2.17.x <= 2.17.3
Git 2.18.x <= 2.18.2
Git 2.19.x <= 2.19.3
Git 2.20.x <= 2.20.2
Git 2.21.x <= 2.21.1
Git 2.22.x <= 2.22.2
Git 2.23.x <= 2.23.1
Git 2.24.x <= 2.24.1
Git 2.25.x <= 2.25.2
Git 2.26.x <= 2.26.0

Versões não afetadas:

Git 2.17.4
Git 2.18.3
Git 2.19.4
Git 2.20.3
Git 2.21.2
Git 2.22.3
Git 2.23.2
Git 2.24.2
Git 2.25.3
Git 2.26.1

Solução oficial

Essa vulnerabilidade foi corrigida na versão oficial mais recente. Se sua versão de serviço estiver dentro do intervalo afetado, atualize-a para a versão segura mais recente.

Endereço para download: https://github.com/git/git/releases

Sugestão

Execute as etapas a seguir para verificar e corrigir uma vulnerabilidade.

Detecte e visualize os detalhes da vulnerabilidade, conforme mostrado em Inicialização manual de uma verificação de vulnerabilidades. Para obter detalhes, consulte Visualização de detalhes de vulnerabilidades.

Figura 1 Inicialização manual de uma verificação de vulnerabilidades
Corrija as vulnerabilidades e verifique o resultado. Para obter detalhes, consulte Manipulação de vulnerabilidades.

Outras medidas de proteção

Se você não pode realizar a atualização no momento, você pode tomar as seguintes medidas:

Desative o auxiliar de credenciais executando os seguintes comandos:
git config --unset credential.helper

git config --global --unset credential.helper

git config --system --unset credential.helper
Fique atento aos URLs maliciosos.
1. Examine o nome do servidor e a parte do nome do usuário dos URLs alimentados ao git clone para a presença de novas linhas codificadas (%0a) ou evidências de injeções de protocolo de credenciais (exemplo: host=github.com).
2. Evite usar submódulos com repositórios não confiáveis (não use clone –recurse-submodules; use git submodule update somente após examinar os URLs encontrados em gitmodules).
3. Evite ferramentas que podem executar o git clone.

Tópico principal: Detecção e correção de vulnerabilidades

Tópico anterior: Detecção e correção de vulnerabilidades

Próximo tópico: Vulnerabilidades de execução remota de comando de SaltStack (CVE-2020-11651 e CVE-2020-11652)

Feedback

Esta página foi útil?

Sim Não

Deixar um comentário

Obrigado por seus comentários. Estamos trabalhando para melhorar a documentação.

O sistema está ocupado. Tente novamente mais tarde.

Quais dos seguintes problemas você encontrou?

O conteúdo é inconsistente com a UI do produto

Descrições pouco claras

Falta de exemplos ou código

Passos incorretos

Não encontro o que preciso

Falta de melhores práticas

Feedback (opcional)

0/500

Selecione pelo menos um tipo de problema e insira seus comentários ou sugestões.

Insira um máximo de 500 caracteres.

Enviar Cancelar