C'est passé depuis 15 jours donc je partage. Plus d'infos sur le lien, je cite:
Problème : quand ce fameux babeld intègre des push options dans ce header, c’est‑à‑dire des chaînes arbitraires que l’utilisateur peut passer via la commande git push -o, il ne filtre pas les points‑virgules. Or le point‑virgule joue précisément le rôle de délimiteur dans le header, ce qui permet à un attaquant d’injecter de nouveaux champs en glissant donc un point-virgule dans sa push option. Quand une clé est dupliquée, la dernière valeur l’emporte et l’attaquant peut donc écraser n’importe quel paramètre de sécurité défini en amont.
Les chercheurs de Wiz ont identifié plusieurs champs internes particulièrement sensibles pouvant être injectés de cette manière. Trois d’entre eux, combinés, ouvrent la voie à une exécution de code arbitraire à distance complète sur l’infrastructure interne de GitHub.
Source: numerama.com
