Amazon Linux AMI：git (ALAS-2020-1413)
high Nessus Plugin ID 139093
語系：
概要
遠端 Amazon Linux AMI 主機缺少安全性更新。說明
受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。此錯誤與 CVE-2020-5260 (GHSA-qm7j-c969-7j4q) 類似。對該錯誤的修復仍然為利用
_some_ credential 洩露問題保留方便之門 (但攻擊者無法控制是哪一個)。Git 使用外部「憑證協助程式」來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。從最近發佈的 Git 版本開始，被視為非法的特製 URL 會造成 Git 傳送「空白」模式給協助程式，導致缺少主機名稱和通訊協定欄位。許多協助程式會將此解譯為符合 _any_ URL，並傳回一些不明的已儲存密碼，進而將密碼洩漏給攻擊者的伺服器。藉由提供惡意 URL 至「git clone」可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。問題的根源在 Git 本身，其不應將空白輸入提供給協助程式。不過，實際利用此弱點的能力取決於正在使用的協助程式。已知會觸發弱點的憑證協助程式：- Git 的「store」協助程式 - Git 的「cache」協助程式 - Git 的「contrib」目錄中隨附的「osxkeychain」協助程式，已知即使在存在弱點的 Git 版本中也安全的憑證協助程式：- Git Credential Manager for Windows 應假定不在此清單中的任何協助程式皆會觸發此弱點。(CVE-2020-11008)
受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。Git 使用外部「憑證協助程式」來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。包含編碼新行的特製 URL 可將非預定值插入憑證協助程式通訊協定資料流，造成憑證協助程式擷取一台伺服器 (例如 good.example.com) 的密碼，以向其他伺服器發出 HTTP 要求 (例如 evil.example.com)，導致將前者的憑證傳送至後者。對兩者之間的關係沒有限制，這表示攻擊者可以特製 URL，將所儲存的任何主機憑證提供給他們選擇的主機。藉由提供惡意 URL 至 git clone 可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。此問題已在 2020 年 4 月 14 日發佈的版本中得到修補，回溯至 v2.17.x 版本。希望進一步反向移植變更的所有使用者皆可套用 commit 9a6bbee (完整版本包含對 git fsck 的額外檢查，但該 commit 足以保護用戶端不受此弱點影響)。修補的版本為：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
(CVE-2020-5260)
解決方案
執行「yum update git」以更新系統。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 139093
檔案名稱: ala_ALAS-2020-1413.nasl
版本: 1.4
類型: local
代理程式: unix
已發布: 2020/7/30
已更新: 2024/2/27
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: Medium
分數: 4.4
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.9
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2020-5260
CVSS v3
風險因素: High
基本分數: 7.5
時間分數: 6.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:amazon:linux:emacs-git, p-cpe:/a:amazon:linux:emacs-git-el, p-cpe:/a:amazon:linux:git, p-cpe:/a:amazon:linux:git-all, p-cpe:/a:amazon:linux:git-bzr, p-cpe:/a:amazon:linux:git-core, p-cpe:/a:amazon:linux:git-core-doc, p-cpe:/a:amazon:linux:git-cvs, p-cpe:/a:amazon:linux:git-daemon, p-cpe:/a:amazon:linux:git-debuginfo, p-cpe:/a:amazon:linux:git-email, p-cpe:/a:amazon:linux:git-hg, p-cpe:/a:amazon:linux:git-instaweb, p-cpe:/a:amazon:linux:git-p4, p-cpe:/a:amazon:linux:git-subtree, p-cpe:/a:amazon:linux:git-svn, p-cpe:/a:amazon:linux:gitweb, p-cpe:/a:amazon:linux:perl-git, p-cpe:/a:amazon:linux:perl-git-svn, cpe:/o:amazon:linux
必要的 KB 項目: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2020/7/29
弱點發布日期: 2020/4/14
參考資訊
CVE: CVE-2020-11008, CVE-2020-5260
ALAS: 2020-1413