Git Exposed

Les dépôts Git exposés représentent l'une des vulnérabilités les plus critiques et fréquemment découvertes dans la sécurité des applications web. Lorsque les développeurs déploient accidentellement leur répertoire .git sur un serveur web de production, ils exposent l'intégralité de l'historique de contrôle de version de leur projet - incluant le code source, les fichiers de configuration, les messages de commit, et potentiellement des identifiants sensibles comme les clés API et les mots de passe de bases de données.

Qu'est-ce qu'un répertoire .git ?

Git stocke toutes les métadonnées et l'historique du dépôt dans un dossier caché .git à la racine de chaque projet. Ce répertoire contient la base de données d'objets complète (toutes les versions de fichiers et commits), les références de branches, les paramètres de configuration et l'index de staging. Lorsque ce dossier est accessible sur un serveur web en production, n'importe qui peut reconstruire le code source complet et examiner chaque modification jamais apportée au projet.

Comment les dépôts Git se retrouvent exposés

Cette vulnérabilité survient généralement à cause d'erreurs de déploiement. Les causes courantes incluent la copie de l'intégralité du répertoire du projet (y compris .git) vers le serveur web via FTP ou rsync, l'utilisation de git clone directement dans la racine web, des pipelines CI/CD mal configurés qui incluent les répertoires de contrôle de version dans les artefacts de build, et des conteneurs Docker qui embarquent le dossier .git. De nombreux serveurs web populaires comme Apache et Nginx ne bloquent pas l'accès aux dotfiles par défaut, rendant l'exposition immédiatement exploitable.

Impact réel des dépôts Git exposés

Les chercheurs en sécurité et les chasseurs de bug bounty découvrent régulièrement des dépôts Git exposés sur des sites web du Fortune 500, des portails gouvernementaux et des plateformes financières. Les conséquences sont graves : les attaquants peuvent télécharger la base de code complète, fouiller l'historique des commits pour trouver des mots de passe et des jetons API commités accidentellement, découvrir des détails d'architecture interne et identifier des vulnérabilités supplémentaires dans le code source. Même les identifiants supprimés dans des commits ultérieurs restent récupérables depuis l'historique Git.

Détection et prévention

Les organisations peuvent prévenir cette vulnérabilité en configurant les serveurs web pour refuser l'accès aux répertoires .git, en utilisant des pipelines de build qui créent des artefacts de déploiement propres sans métadonnées de contrôle de version, et en scannant régulièrement les serveurs de production avec des outils automatisés. Comprendre comment les dépôts Git exposés fonctionnent et comment les attaquants les exploitent est une connaissance essentielle pour les testeurs d'intrusion et toute personne responsable de la sécurisation de l'infrastructure web.