CVE-2020-5260 in Git
摘要
由 VulDB • 2026-05-22
受影响的 Git 版本存在一个漏洞，攻击者可利用该漏洞诱使 Git 向由攻击者控制的服务器发送私有凭据。Git 使用外部“凭据助手”（credential helper）程序，从操作系统提供的安全存储中存储和检索密码或其他凭据。包含编码换行符的特制 URL 可将非预期值注入凭据助手协议流，导致凭据助手为向另一服务器（例如 evil.example.com）发出的 HTTP 请求检索一个服务器（例如 good.example.com）的密码，从而将前者的凭据发送给后者。这两个服务器之间没有任何关系限制，这意味着攻击者可以构造一个 URL，将任何主机的存储凭据呈现给攻击者选择的任意主机。通过向 `git clone` 提供恶意 URL 即可触发此漏洞。然而，受影响的 URL 看起来相当可疑；可能的攻击向量是通过自动克隆用户不可见 URL 的系统，例如 Git 子模块（submodules），或基于 Git 构建的包管理系统。该问题已在 2020 年 4 月 14 日发布的版本中得到修复，涵盖 v2.17.x 及更早版本。任何希望进一步向后移植此修复的用户，可以通过应用提交 9a6bbee 来实现（完整发布版本包含针对 git fsck 的额外检查，但该提交足以保护客户端免受此漏洞影响）。受修复影响的版本包括：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.