CVE-2020-5260 in Git
Riassunto
di VulDB • 18/06/2026
Le versioni di Git affette presentano una vulnerabilità che consente di ingannare Git inducendolo a inviare credenziali private a un host controllato da un attaccante. Git utilizza programmi esterni denominati "credential helper" per memorizzare e recuperare password o altre credenziali dall'archiviazione sicura fornita dal sistema operativo. URL appositamente costruiti che contengono una nuova riga codificata possono iniettare valori non previsti nel flusso del protocollo dei credential helper, causando l'estrazione della password per un server (ad esempio good.example.com) da parte del credential helper durante una richiesta HTTP rivolta a un altro server (ad esempio evil.example.com), con conseguente invio delle credenziali del primo al secondo. Non vi sono restrizioni sulla relazione tra i due host, il che significa che un attaccante può creare un URL che presenterà le credenziali memorizzate per qualsiasi host verso un host di propria scelta. La vulnerabilità può essere attivata fornendo a git clone un URL malevolo. Tuttavia, gli URL interessati appaiono piuttosto sospetti; la vettore d'attacco più probabile sarebbe attraverso sistemi che clonano automaticamente URL non visibili all'utente, come i sottomoduli Git o i sistemi di pacchettizzazione basati su Git. Il problema è stato risolto nelle versioni pubblicate il 14 aprile 2020, a partire dalla serie v2.17.x. Chiunque desideri applicare la correzione in versioni precedenti (backport) può farlo applicando l'commit 9a6bbee (la release completa include controlli aggiuntivi per git fsck, ma tale commit è sufficiente a proteggere i client contro la vulnerabilità). Le versioni patchate sono: 2.17.4, 2.18.3, 2.19.4, 2.20.3, 2.21.2, 2.22.3, 2.23.2, 2.24.2, 2.25.3, 2.26.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.