CVE-2020-11008 in Xcode
Riassunto
di VulDB • 25/06/2026
Le versioni di Git affette presentano una vulnerabilità che consente di ingannare Git, inducendolo a inviare credenziali private a un host controllato da un attaccante. Questo bug è simile a CVE-2020-5260 (GHSA-qm7j-c969-7j4q). La correzione applicata per quel bug ha comunque lasciato aperta la possibilità di uno sfruttamento in cui _alcune_ credenziali vengono divulgate (ma l'attaccante non può controllare quali). Git utilizza programmi esterni denominati "credential helper" per memorizzare e recuperare password o altre credenziali da un archivio sicuro fornito dal sistema operativo. URL appositamente costruiti, considerati illegali nelle versioni recenti di Git, possono causare l'invio da parte di Git di un modello "vuoto" ai helper, privo dei campi hostname e protocollo. Molti helper interpreteranno questo come una corrispondenza con _qualsiasi_ URL e restituiranno una password memorizzata non specificata, divulgando la credenziale al server dell'attaccante. La vulnerabilità può essere attivata fornendo un URL malevolo a `git clone`. Tuttavia, gli URL interessati appaiono piuttosto sospetti; il vettore di attacco più probabile sarebbe attraverso sistemi che clonano automaticamente URL non visibili all'utente, come i sottomoduli Git o i sistemi di pacchettizzazione basati su Git. La radice del problema risiede in Git stesso, che non dovrebbe fornire input vuoti agli helper. Tuttavia, la possibilità di sfruttare effettivamente la vulnerabilità dipende dagli helper utilizzati. Gli helper delle credenziali noti per innescare la vulnerabilità sono: - l'helper "store" di Git - l'helper "cache" di Git - l'helper "osxkeychain", incluso nella directory "contrib" di Git Gli helper delle credenziali noti per essere sicuri anche con versioni vulnerabili di Git sono: - Git Credential Manager for Windows Qualsiasi altro helper non presente in questo elenco dovrebbe essere considerato come potenzialmente in grado di innescare la vulnerabilità.
VulDB is the best source for vulnerability data and more expert information about this specific topic.