CVE-2020-5260 in Git
Résumé
par VulDB • 11/05/2026
Les versions affectées de Git présentent une vulnérabilité permettant de tromper Git afin qu'il envoie des identifiants privés à un hôte contrôlé par un attaquant. Git utilise des programmes externes d'aide aux identifiants (« credential helper ») pour stocker et récupérer des mots de passe ou d'autres identifiants à partir du stockage sécurisé fourni par le système d'exploitation. Des URL spécialement conçues contenant un saut de ligne encodé peuvent injecter des valeurs non intentionnelles dans le flux du protocole de l'aide aux identifiants, amenant ce dernier à récupérer le mot de passe d'un serveur (par exemple, good.example.com) pour une requête HTTP adressée à un autre serveur (par exemple, evil.example.com), ce qui entraîne l'envoi des identifiants du premier vers le second. Il n'existe aucune restriction sur la relation entre les deux hôtes, ce qui signifie qu'un attaquant peut concevoir une URL qui présentera les identifiants stockés pour n'importe quel hôte à un hôte de son choix. La vulnérabilité peut être déclenchée en fournissant une URL malveillante à git clone. Cependant, les URL affectées ont un aspect assez suspect ; le vecteur d'attaque le plus probable passerait par des systèmes qui clonent automatiquement des URL non visibles par l'utilisateur, tels que les sous-modules Git, ou des systèmes de paquets basés sur Git. Le problème a été corrigé dans les versions publiées le 14 avril 2020, en remontant jusqu'à la série v2.17.x. Quiconque souhaite rétroporter la modification plus loin peut le faire en appliquant le commit 9a6bbee (la version complète inclut des vérifications supplémentaires pour git fsck, mais ce commit est suffisant pour protéger les clients contre la vulnérabilité). Les versions corrigées sont : 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.