Clone2Leak, ein neu identifizierter Satz von Schwachstellen in Git und seinem Ökosystem, birgt Entwicklern erhebliche Risiken, indem sie Fehler in Protokollen für Referentialmanagement ausnutzen. Diese Sicherheitslücken entdeckt von Ryotak von GMO Flatt Security und können es den Angreifern ermöglichen, gespeicherte Anmeldeinformationen und Zugriff auf sensible Repositorys zu verletzen. Während Patches veröffentlicht wurden, um die Probleme anzugehen, unterstreichen die Enthüllungen die Bedeutung der Wachsamkeit bei der Sicherung von Entwicklungsinstrumenten.
Clone2Leak nutzt Gits Anmeldeinformationen aus
Der Clone2Leak -Angriff basiert auf einer unsachgemäßen Analyse von Authentifizierungsanforderungen von GIT und seinen zugehörigen Tools wie Github Desktop, Git LFS, Github CLI und Git Credential Manager. Berechtigungsmittelhelfer, die zur Vereinfachung der Authentifizierung konzipiert wurden, wurden zum Angriffsvektor aufgrund ihres Misshandlung von speziell gefertigten URLs. Jede Sicherheitsanfälligkeit enthält eine einzigartige Möglichkeit, Angreifern auszunutzen.
„Bei der Verwendung eines Helfer mit Anmeldeinformationen verwendet Git ein zeilenbasiertes Protokoll, um Informationen zwischen sich und dem Helfer für Anmeldeinformationen zu übergeben. Eine speziell gefertigte URL, die eine Wagenrückgabe enthält, kann verwendet werden, um unbeabsichtigte Werte in den Protokollstrom zu injizieren, wodurch der Helfer das Kennwort für einen Server abruft, während es an einen anderen gesendet wird. “ Github -Staaten.
Die erste Kategorie des Angriffs, bekannt als Wagenrücklaufschmuggel, wurde verfolgt als CVE-2025-23040 Und CVE-2024-50338. Diese Schwachstellen wirkten sich auf den GitHub -Desktop und den Git -Anmeldeinformationsmanager aus, bei dem ein in einer böswilliger URL eingebetteter Zeichen des `%0d` die Tools dazu bringen könnte, Anmeldeinformationen an einen nicht autorisierten Server zu senden. Laut RyotakDieser Fehler nutzte die Diskrepanzen darüber aus, wie Git und seine Helfer in Authentifizierungsanfragen verarbeitet wurden.
Eine weitere Angriffsmethode umfasste Newline -Injektion (CVE-2024-53263), die die Nachsicht von Git LFS bei der Behandlung von Newline -Zeichen (` n`) in` .lfsconfig` -Dateien ausnutzte. Angreifer konnten Anmeldeinformationen manipulieren, um die Antworten von Git auf böswillige Server umzuleiten. Schließlich logischen Mängel im Abrufen von Anmeldeinformationen (CVE-2024-53858) Github CLI und Codenspaces. Diese Tools hatten übermäßig zulässige Anmeldeinformationen, die es Angreifern ermöglichten, Authentifizierungs -Token umzuleiten, indem sie Benutzer in böswillige Repositorys einleiten.
Minderung der Risiken von Clone2Leak
Alle identifizierten Schwachstellen wurden nun über Patches behandelt. Benutzer werden aufgefordert, ihre Tools auf die folgenden sicheren Versionen zu aktualisieren: GitHub Desktop 3.4.12 oder neuer, Git Credential Manager 2.6.1 oder neuer, Git LFS 3.6.1 oder höher und Github CLI 2.63.0 oder höher. Zusätzlich Git Version 2.48.1 Auflösungen ein verwandtes Problem (CVE-2024-52006), was verhindert, dass URLs mit Kutschenrückgaberien verarbeitet werden.
Um Risiken weiter zu mildern, wird Entwicklern empfohlen, GITs „Credential.ProtectProtocol“ -Seinstellung zu ermöglichen. Diese Konfiguration fügt eine zusätzliche Verteidigungsebene gegen Angriffe auf Anmeldeinformationen hinzu. Weitere Empfehlungen umfassen Prüfungsanmeldungskonfigurationen und Vorsicht bei der Klonierung von Repositorys, insbesondere bei denjenigen, die Anmeldeinformationen benötigen.
„Mit einer böswillig gefertigten URL ist es möglich, dass die Anmeldeinformationsanforderung von Git von Github Desktop falsch interpretiert wird, sodass sie Anmeldeinformationen für einen anderen Host sendet CVE-2025-23040. Die Erklärung unterstreicht die potenzielle Schwere des Problems, selbst wenn Korrekturen umgesetzt wurden.
9 Sicherheitsfehler in iOS 18.3: Sollten Sie Apple Intelligence jetzt vertrauen?
Systemische Probleme im Zeugnismanagement
Clone2Leak ist kein isolierter Vorfall, sondern eine Reflexion systemischer Schwächen in der Art und Weise, wie Git und seine Werkzeuge mit Authentifizierungsprotokollen umgehen. Die Schwachstellen nutzten das textbasierte Anmeldeinformationsprotokoll von GIT, das auf Newline-getrennten Schlüsselwertpaaren für die Kommunikation beruht. Während es Schutz gibt, um die Injektion von Eigentum zu verhindern, führten die Unstimmigkeiten beim Parsenverhalten ausblosierbare Lücken.
Zum Beispiel interpretierte GitHub Desktop und Git -Anmeldeinformationsmanager die Return -Return -Charaktere falsch, während Git LFS eingebettete neue Zeilenzeichen in Konfigurationsdateien nicht validieren konnte. Diese Aufsicht ermöglichte es den Angreifern, böswillige URLs zu erstellen, die in der Lage sind, Anmeldeinformationen zu bestimmen.
Die Ergebnisse von Ryotak zeigen auch, wie Umgebungsvariablen in Github -Codespaien zu den Mängel beigetragen haben. Durch das Einstellen von „Codenspaces“ auf „True“ konnten Angreifer sicherstellen, dass klonierte Repositories automatisch Zugangsantrieb für nicht autorisierte Hosts durchgesickert haben. Diese Erkenntnisse unterstreichen die Notwendigkeit einer strengen Validierung von Parametern in Anmeldeinformationen.
„Wenn Git ohne die Verwendung eines Anmeldeinformationshelper interaktiv Anmeldeinformationen ausfüllen muss, wird der Hostname aufgedruckt und den Benutzer aufgefordert, das entsprechende Benutzername/Passwort -Paar für diesen Host auszufüllen. Git druckt jedoch den Hostnamen nach der URL-Dekodierung aus “, bemerkte Github in seiner Erklärung von CVE-2024-50349. Die inzwischen gepatchte Sicherheitsanfälligkeit veranschaulicht, wie subtile Fehler im Design zu erheblichen Sicherheitsrisiken führen können.
