GitHub Desktop - это приложение GitHub с открытым исходным кодом на базе Electron, предназначенное для разработки git. Злоумышленник, убеди…

GitHub Desktop - это приложение GitHub с открытым исходным кодом на базе Electron, предназначенное для разработки git. Злоумышленник, убедивший пользователя клонировать репозиторий напрямую или через подмодуль, может предоставить злоумышленнику доступ к учетным данным пользователя посредством злонамеренно созданного удаленного URL-адреса. GitHub Desktop использует Git для выполнения всех сетевых операций (таких как клонирование, выборка и отправка). Когда пользователь пытается клонировать репозиторий, GitHub Desktop вызывает `git clone`, и когда Git обнаруживает удаленный репозиторий, требующий аутентификации, он запрашивает учетные данные для этого удаленного хоста из GitHub Desktop с использованием протокола git-credential. Используя вредоносный URL-адрес, можно привести к тому, что запрос учетных данных, поступающий от Git, будет неправильно истолкован Github Desktop, так что он отправит учетные данные для другого хоста, чем тот, с которым в данный момент взаимодействует Git, тем самым позволяя секретную эксфильтрацию. Имя пользователя GitHub и токен OAuth или учетные данные для других удаленных хостов Git, хранящиеся в GitHub Desktop, могут быть неправильно переданы на несвязанный хост. Пользователям следует обновиться до GitHub Desktop 3.4.12 или более поздней версии, в которой исправлена эта уязвимость. Пользователям, которые подозревают, что они могут быть затронуты, следует отозвать любые соответствующие учетные данные.