CVE-2020-11008 in Xcode
Résumé
par VulDB • 12/06/2026
Les versions affectées de Git présentent une vulnérabilité permettant d’inciter Git à envoyer des identifiants privés vers un hôte contrôlé par un attaquant. Ce bug est similaire à celui décrit dans CVE-2020-5260 (GHSA-qm7j-c969-7j4q). La correction apportée pour ce dernier a toutefois laissé la porte ouverte à une exploitation où _certains_ identifiants sont divulgués (mais l’attaquant ne peut pas contrôler lesquels). Git utilise des programmes externes dits « assistants de gestion des identifiants » (« credential helpers ») pour stocker et récupérer les mots de passe ou autres informations d’identification depuis un stockage sécurisé fourni par le système d’exploitation. Des URL spécialement conçues, considérées comme illégales dans les versions récentes de Git publiées récemment, peuvent amener Git à envoyer une chaîne « vide » aux assistants, en omettant les champs hôte et protocole. De nombreux assistants interpréteront cela comme correspondant à _n’importe quelle_ URL et retourneront un mot de passe stocké non spécifié, divulguant ainsi le mot de passe au serveur d’un attaquant. La vulnérabilité peut être déclenchée en fournissant une URL malveillante à `git clone`. Cependant, les URLs affectées ont plutôt l’air suspectes ; la vecteur probable passerait par des systèmes qui clonent automatiquement des URLs non visibles pour l’utilisateur, tels que les sous-modules Git ou les systèmes de paquets basés sur Git. La racine du problème réside dans Git lui-même, qui ne devrait pas transmettre d’entrée vide aux assistants. Toutefois, la capacité à exploiter cette vulnérabilité en pratique dépend des assistants utilisés. Les assistants connus pour déclencher la vulnérabilité : - L’assistant « store » de Git - L’assistant « cache » de Git - L’assistant « osxkeychain », fourni dans le répertoire « contrib » de Git Les assistants considérés comme sûrs même avec les versions vulnérables de Git : - Git Credential Manager pour Windows Tout assistant non figurant sur cette liste doit être considéré comme déclenchant la vulnérabilité.
Once again VulDB remains the best source for vulnerability data.