Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Git Credential Manager Core (GCM Core) en Windows y macOS (CVE-2020-26233)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
08/12/2020
Última modificación:
18/02/2021

Descripción

Git Credential Manager Core (GCM Core) es un asistente de credenciales de Git seguro diseñado en .NET Core que se ejecuta en Windows y macOS. En Git Credential Manager Core versiones anteriores a 2.0.289, cuando recursivamente se clona un repositorio de Git en Windows con submódulos, Git primero clonará el repositorio de nivel superior y luego clonará de forma recursiva todos los submódulos iniciando nuevos procesos de Git desde el directorio de trabajo de nivel superior. Si un ejecutable git.exe malicioso está presente en el repositorio de nivel superior, Git Credential Manager Core iniciará este binario cuando intente leer la configuración, y no git.exe como se encuentra en %PATH%. Esto solo afecta a GCM Core en Windows, no a las distribuciones basadas en macOS o Linux. GCM Core versión 2.0.289 contiene la corrección para esta vulnerabilidad y está disponible desde la página de versiones de GitHub del proyecto. GCM Core versión 2.0.289 también se incluye en la última versión de Git para Windows; versión 2.29.2(3). Como solución alternativa, los usuarios deben evitar la clonación recursiva de repositorios que no sean de confianza con la opción --recurse-submodules

Impacto

Vector 3.x
CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.30 ALTA
Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
7.30
Gravedad 3.x
ALTA
Vector 2.0
AV:N/AC:H/Au:S/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.60 BAJA
Vector: AV:N/AC:H/Au:S/C:P/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0
3.60
Gravedad 2.0
BAJA

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:microsoft:git_credential_manager_core:*:*:*:*:*:windows:*:* 2.0.289 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página


Referencias a soluciones, herramientas e información