Versiebeheersystemen getroffen door lek

Versiebeheersystemen GIT, SVN en Mercurial zijn vatbaar geweest voor een lek waarmee personen commando's konden uitvoeren in de commandline. Het lek was te misbruiken doordat de aanvaller de parameter voor SSH-url's kon manipuleren.

Recurity Labs-onderzoeker Joern Schneeweisz heeft de kwetsbaarheden gedocumenteerd onder de kenmerken CVE-2017-1000117, CVE-2017-1000116 en CVE-2017-9800. In eerste instantie kwam de onderzoeker er achter dat Git LFS het lek bevatte als een ssh-url een hostname bevat die begint met een streepje, dat deze dan onterecht als een optie bij het ssh-commando wordt gezien. Hiermee zou het dan mogelijk moeten zijn geweest om willekeurig commando's uit te voeren bij de gebruiker.

Het lek is in mei van dit jaar door hem ontdekt. Twee maanden later bleek ook dat Git zelf ook vatbaar was via het clone-commando, opvolgende met Subversion en Mercurial. Van deze was het lek in Subversion het grootste omdat hiermee ook via http-URL's als commando worden worden misbruikt via een redirect.

Inmiddels zijn alle nodige patches uitgebracht die het nu niet meer mogelijk maken om een SSH-hostname te laten beginnen met een streepje.

Gerelateerde nieuwsberichten

21/09/2023 Beveiligingsprobleem in GitLab ontdekt
28/06/2023 Lek ontdekt in module voor leeromgevingen voor Wordpress
15/06/2023 Bestelgegevens duizenden webwinkels via onveilige betaalplug-in te achterhalen

Er zijn geen reacties op 'Versiebeheersystemen getroffen door lek'