Schwachstellen in Git entdeckt

Durch die jetzt aufgedeckten Schwachstellen über die Edward Thomson in Microsofts Devops Blog schreibt, haben Hacker die Möglichkeit, ein fehlerhaftes Git-Repository anzulegen, das ein speziell dafür entwickeltes Git-Submodul enthält. David Rushmer von Cylance (DR) beantwortet dazu drei Fragen:

Wie können Unternehmen sich davor schützen, dass Git in dieser Form missbraucht wird?

DR: Die beiden genannten Schwachstellen CVE 2018-11233 und CVE 2018-11235 verlassen sich bei der Manipulation auf eine Methode, die Git beim Umgang mit Submodulen verwendet. Um dies zu verhindern hat Git einiges an der Methode verändert wie bis dato mit Submodulen umgegangen wurde. So sind inzwischen weder relative Pfadstrukturen noch symbolische Links gestattet. Zudem erlaubt es Git den Submodulen nicht mehr auf das Arbeitsverzeichnis zu verweisen, die Submodule müssen sich zwingend im “.git” Repository-Ordner befinden.

Wie können Unternehmen auch entfernte Git-Repositories schützen?

DR: Neben dem Aufsetzen eines internen Git-Repository, verfügen webbasierte Online-Dienste, die Software-Entwicklungsprojekte serverseitig bereitstellen, wie etwa GitHub, über Repositories mit bestimmten Kontrollfunktionen. Das sind etwa „private“ Repository-Kontrollen, die den Code sehen und übergeben. Und selbst wenn eine Organisation ihren Code öffentlich verfügbar machen will, bietet das „public“ Repository immer noch die Möglichkeit zu kontrollieren wer den Code wie benutzen darf. Wenn solche Fusionierungsanfragen für den Code gestellt werden, ist es zudem möglich sie im Rahmen der Anfrage zu überpüfen oder unterschiedliche Nutzer den Code autorisieren zu lassen. Git setzt keine Workflows für verwaltete Git Repositories durch. Dafür wurden Angebote wie GitFlow entwickelt, die bewährte und getestete Methoden bereitstellen, mit denen man die betreffenden Instanzen wie GitHub besser kontrollieren kann. Sie erziehen Benutzer und Administratoren gleichermaßen bewährte Praktiken durchgängig anzuwenden.

Welches ist die beste Verteidigungsmethode um das willkürliche Ausführen von Code auf dem Rechner eines Benutzers zu verhindern?

DR: Selbst wenn man grundsätzlich nur vertrauenswürdige Quellen nutzt, ist das schlussendlich keine Garantie, dass eine dieser Quellen nicht ebenfalls kompromittiert wurde. Deswegen ist es ratsam, Geräte über Lösungen zu abzusichern, die Verhaltensweisen wie die beschriebenen überwachen. Allerdings sollte man sich beim Endpunktschutz nicht ausschließlich auf die Kontrolle von ausführbarem Code beschränken. Es gibt darüber hinaus noch weitere Techniken, bei denen der ausführbare Teil beispielsweise direkt in den Speicher geladen wird und so den Festplattenschutz umgeht.