Clone2leak, nowo zidentyfikowany zestaw luk w GIT i jego ekosystem, stanowi znaczące ryzyko dla programistów poprzez wykorzystanie wad w protokołach zarządzania poświadczeniem. Odkryty przez badacza bezpieczeństwa Ryotak z GMO Flatt Security, luki te mogą pozwolić atakującym wyciekać przechowywane poświadczenia i dostęp do wrażliwych na repozytoria. Podczas gdy łatki zostały wydane w celu rozwiązania problemów, rewelacje podkreślają znaczenie czujności w zabezpieczeniu narzędzi programistycznych.
Clone2leak wykorzystuje wady poświadczeń Git
Atak Clone2Leak opiera się na niewłaściwym analizowaniu żądań uwierzytelniania przez GIT i jego powiązanych narzędzi, takich jak Github Desktop, Git LFS, Github CLI i GIT Credential Manager. Pomocnicy poświadczeni, zaprojektowane w celu uproszczenia uwierzytelniania, stali się wektorem ataku ze względu na ich niewłaściwe wytworzenie specjalnie wykonanych adresów URL. Każda podatność odradza unikalną drogę dla atakujących do wykorzystania.
„Podczas korzystania z pomocnika poświadczenia GIT używa protokołu opartego na linii do przekazywania informacji między sobą a pomocnikiem poświadczonym. Specjalnie wykonany adres URL zawierający zwrot wózka można użyć do wstrzykiwania niezamierzonych wartości do strumienia protokołu, powodując, że pomocnik pobiera hasło dla jednego serwera podczas wysyłania go do drugiego ” Stany github.
Pierwsza kategoria ataku, znana jako przemyt powrotu powracania, została śledzona jako CVE-2025-23040 I CVE-2024-50338. Te luki wpłynęły na menedżera kompetencji GitHub i GIT, w którym znak „%0d` osadzony w złośliwym adresie URL może oszukać narzędzia do wysyłania poświadczeń na nieautoryzowany serwer. Według Ryotakata wada wykorzystywała rozbieżności, w jaki sposób Git i jego pomocnicy przetworzyli znaki zwrotne w żądaniach w żądaniach uwierzytelniania.
Kolejna metoda ataku obejmowała wtrysk nowości (CVE-2024-53263), który wykorzystał łagodność GIT LFS w obsłudze newline („ n`) znaków w plikach .lfsconfig`. Atakujący mogli manipulować prośbami o przekierowanie odpowiedzi Git na złośliwe serwery. Wreszcie logika wcale w wyszukiwaniu poświadczeń (CVE-2024-53858) Ukierunkowane Github CLI i kody. Narzędzia te miały zbyt dopuszczalne pomocników poświadczeń, umożliwiając atakującym przekierowywanie tokenów uwierzytelniania poprzez zwabienie użytkowników do klonowania złośliwych repozytoriów.
Ograniczenie ryzyka Clone2leak
Wszystkie zidentyfikowane luki zostały teraz rozwiązane za pośrednictwem łatek. Użytkownicy są zachęcani do aktualizacji swoich narzędzi do następujących bezpiecznych wersji: GitHub Desktop 3.4.12 lub nowszy, GIT Condytment Manager 2.6.1 lub nowszy, Git LFS 3.6.1 lub nowszy oraz GitHub CLI 2.63.0 lub nowszy. Dodatkowo GIT wersja 2.48.1 rozwiązuje powiązany problem (CVE-2024-52006), który zapobiega przetwarzaniu adresów URL z znakami powrotu powozu.
Aby jeszcze bardziej ograniczyć ryzyko, deweloperom zaleca się włączenie „poświadczenia GIT.protectprotocol”. Ta konfiguracja dodaje dodatkową warstwę obrony przed atakami przemytu poświadczenia. Inne zalecenia obejmują audyt konfiguracji poświadczeń i zachowanie ostrożności podczas klonowania repozytoriów, szczególnie tych wymagających poświadczeń.
„Korzystając z nowo wytworzonego adresu URL, możliwe jest spowodowanie, że żądanie poświadczenia pochodzące z Git zostanie błędnie interpretowane przez pulpit Github, tak że wysyła dane uwierzytelniające dla innego hosta niż ten, z którym GIT obecnie się komunikuje”, wyjaśnił Github w Advisory Adresing CVE-2025-23040. Oświadczenie podkreśla potencjalną nasilenie problemu, nawet w miarę wdrożenia poprawek.
9 wad bezpieczeństwa ustalone w iOS 18.3: Czy powinieneś teraz ufać Apple Intelligence?
Problemy systemowe w zarządzaniu poświadczeniem
Clone2Leak nie jest incydentem odizolowanym, ale odzwierciedleniem systemowych osłabień w tym, jak Git i jego narzędzia obsługują protokoły uwierzytelniania. Podatności wykorzystywały protokół poświadczenia oparty na tekstach GIT, który opiera się na nowej linii pary kluczowej wartości do komunikacji. Podczas gdy istnieją zabezpieczenia w celu zapobiegania wstrzyknięciu nieruchomości, rozbieżności w analizowaniu zachowań spowodowały luki.
Na przykład Github Desktop i GIT Condytment Manager źle interpretowały znaki zwrotne powozu, podczas gdy GIT LFS nie potwierdził wbudowanych znaków nowatorskich w plikach konfiguracyjnych. Te nadzór pozwolił atakującym na tworzenie złośliwych adresów URL zdolnych do wykładania poświadczeń.
Odkrycia Ryotaka ujawniają również, w jaki sposób zmienne środowiskowe w kodachach Github przyczyniły się do wad. Ustawiając „kodespaces” na „prawdziwe”, atakujący mogą zapewnić, że klonowane repozytoria automatycznie wyciekły tokeny dostępu do nieautoryzowanych hostów. Te spostrzeżenia podkreślają potrzebę rygorystycznej walidacji parametrów w protokole poświadczenia.
„Gdy GIT musi interaktywnie wypełnić poświadczenia bez użycia pomocnika poświadczenia, drukuje nazwę hosta i prosi użytkownika o wypełnienie odpowiedniej nazwy użytkownika/hasła dla tego hosta. Jednak Git wydrukuje nazwę hosta po jej oddzieleniu URL ”, zauważył Github w wyjaśnieniu CVE-2024-50349. Podatność, teraz załatana, jest przykładem, w jaki sposób subtelne wady projektowania mogą prowadzić do znacznych zagrożeń bezpieczeństwa.
