Il famoso sistema di controllo delle versioni git è stato aggiornato pochi giorni fa correggendo un brutto bug di sicurezza.

Identificato dalla CVE-2017-1000117 questa vulnerabilità permette l’esecuzione di comandi arbitrari sui client che tentano di clonare dei repository git tramite ssh.

In pratica, un attaccante può costruire una url per clonare un repository git che, in realtà, non fa altro che lanciare un comando sul computer dell’utente non attento che, magari, copia/incolla il link da internet.

Ecco un esempio del comando che permette di lanciare la calcolatrice di GNOME:

$ git clone ssh://-oProxyCommand=gnome-calculator/test
Cloning into 'test'...
Pseudo-terminal will not be allocated because stdin is not a terminal.
ssh_exchange_identification: Connection closed by remote host
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

Mentre in console ci apparirà questo messaggio di errore, potremo vedere (se la versione che abbiamo è vulnerabile) che ci apparirà la calcolatrice di GNOME.

Con questo metodo non solo è possibile combinare qualcosa sul pc di qualche utente frettoloso ma, utilizzando sistemi di gestione di progetti e repository quali GitLab è possibile eseguire comandi arbitrari su server remoti, o almeno questo è quanto riporta il sito The Recurity Lablog.

Inoltre, pare che bug molto simili siano stati trovati in SVN ed in Mercurial, andando quindi a toccare diversi sistemi di versionamento.

Fortunatamente la macchina dell’open-source si è messa immediatamente in modo, ed è già stata rilasciata la versione 2.14.1 contenente la patch a questo problema, oltre ad aver rilasciato anche le versioni v2.7.6, v2.8.6, v2.9.5, v2.10.4, v2.11.3, v2.12.4,
e v2.13.5 contenenti la stessa patch.

Insomma, tutto è bene quel che finisce bene, ma voi avete già aggiornato?

Matteo Cappadonna

Utente Linux/Unix da più di 20 anni, cerco sempre di condividere il mio know-how; occasionalmente, litigo con lo sviluppatore di Postfix e risolvo piccoli bug in GNOME. Adoro tutto ciò che può essere automatizzato e reso dinamico, l’HA e l’universo container. Autore dal 2011, provo a condividere quei piccoli tips&tricks che migliorano il lavoro e la giornata.