Découverte d'une vulnérabilité Git sous MacOSX et Windows
La vulnérabilité Git : plus importante sur MacOS X et Windows
Une vulnérabilité a été découverte dans plusieurs logiciels de gestion de versions dont Git, de plus en plus répandu. Cette vulnérabilité Git concerne uniquement les dépôts qui sont hébergés sur des systèmes de fichiers insensibles à la casse. Elle est donc plus particulièrement présente sur les systèmes Windows et MacOS X dont les systèmes de fichiers FAT, NTFS et HFS+ ne gèrent pas la casse, ou du moins, pas par défaut. Les systèmes Linux ou UNIX ne sont pas concernés dans la majorité des cas.
Exploitation de la vulnérabilité Git découverte dans le logiciel
La faille permet à un attaquant de créer une arborescence particulière au sein du dépôt qui aura pour conséquence d’écraser le fichier .git/config. Cet écrasement aura lieu au moment ou le dépôt sera cloné ou mis à jour à partir du serveur. Une prise de contrôle du fichier .git/config peut conduire à un grand nombre de comportements malicieux, dont l’exécution de commandes arbitraires.
Un exemple d’exploitation de la faille est de créer au sein du dépôt une arborescence. Git/config (noter le G majuscule). Lorsque le dépôt sera récupéré sur une machine vulnérable, le programme viendra écraser son fichier .git/config avec le fichier .Git/config. Ce fichier contenant toute la configuration du dépôt, il est aisé d’imaginer les exploitations possibles de cette faille.
Des mises à jour de ont été mises en ligne afin de pallier le problème. Le logiciel passe donc à la version 2.2.1 avec la correction de cette faille. Des versions de maintenance sont également sorties pour les versions plus anciennes (1.8.5.6, 1.9.5, 2.0.5 et 2.1.4). GitHub, grand hébergeur de sources, s’est également tenu à jour avec la mouture 2.6.5 de son application. Il est donc très important de mettre à jour son client Git au plus vite.
En savoir plus
Consultez notre offre d’hébergement SaaS (dont GitLab) et notre offre de formation linux.