محققان امنیتی مجموعه‌ای از سه حمله مرتبط به نام «Clone2Leak» را کشف کرده‌اند که می‌تواند اعتبارنامه‌های کاربران را از طریق سوءاستفاده از نحوه مدیریت درخواست‌های احراز هویت در Git و ابزارهای کمکی آن فاش کند. این حملات قادر به سازش رمزهای عبور و توکن‌های دسترسی در GitHub Desktop، Git LFS، GitHub CLI/Codespaces و Git Credential Manager هستند. آسیب‌پذیری‌های مکشوفه شامل تزریق کاراکتر بازگشت (carriage return smuggling) با شناسه‌های CVE-2025-23040 و CVE-2024-50338، تزریق خط جدید (newline injection) با شناسه CVE-2024-53263، و نقص‌های منطقی در بازیابی اعتبارنامه‌ها با شناسه CVE-2024-53858 می‌باشد.
محقق ژاپنی RyotaK از شرکت GMO Flatt Security این نقص‌ها را به صورت مسئولانه گزارش کرده و به‌روزرسانی‌های امنیتی برای رفع همه آسیب‌پذیری‌ها منتشر شده است. کاربران باید اطمینان حاصل کنند که از نسخه‌های امن GitHub Desktop 3.4.12 یا جدیدتر، Git Credential Manager 2.6.1 یا جدیدتر، Git LFS 3.6.1 یا بالاتر، و gh cli 2.63.0 یا جدیدتر استفاده می‌کنند. همچنین توصیه می‌شود تنظیم ‘credential.protectProtocol’ در Git فعال شود تا لایه امنیتی اضافی در برابر حملات قاچاق اعتبارنامه فراهم آید.
کلمات کلیدی : Clone2Leak, آسیب‌پذیری Git, GitHub Desktop امنیت, اعتبارنامه قاچاق, CVE امنیتی, Git Credential Manager
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.