Git Submodule新漏洞已修復

2021-09-17 19:14:46 字數 884 閱讀 9666

git社群披露了乙個影響clone和submodule命令的安全漏洞,當存在漏洞的機器訪問惡意庫時,這些命令可以遠端執行**。這個由mitre分配了編號cve-2018-17456的漏洞已在git 2.19.1中修復。

\\ 要觸發該漏洞,惡意庫可以偽造乙個.gitmodules,其中包含以破折號開頭的url。這將影響git clone --recurse-submodules和git submodule update --recursive,因為它們會將這個以破折號開頭的url遞迴地傳遞給git clone或git submodule子程序,它們會將該url解釋為命令選項。這可能導致在本地機器上執行任意命令。這個漏洞類似於cve-2017-1000117,它也是通過偽造以破折號開頭的ssh url實現選項注入攻擊,由git執行的ssh子程序會將這些url解釋為命令選項。目前還沒有任何已知的不法行為。

\\

\

我們還利用這段時間掃瞄了github上所有的庫,尋找它實際被用於實施攻擊的證據。我們很高興地告訴大家,沒有發現攻擊例項(現在,在我們的檢測下,就沒有例項可以新增了)。

\

\\

正如@joernchen提交的修復漏洞的pr所顯示的那樣,修復本身非常簡單。不過,這一發現為.gitmodules的全面審計提供了機會,它會針對其中的路徑和url實現更嚴格的檢查。

\\ 如前所述,git 2.19.1包含了對這個漏洞的修復。另外,該補丁還被反向移植到了2.14.5、2.15.3、2.16.5、2.17.2和2.18.1版本。由於git整合到了github專案(如github desktop和atom)中,這些專案也已經得到了修復,所以你最好盡快公升級它們。

\\檢視英文原文:new git submodule vulnerability patched

Git Submodule新漏洞已修復

git社群披露了乙個影響clone和submodule命令的安全漏洞,當存在漏洞的機器訪問惡意庫時,這些命令可以遠端執行 這個由mitre分配了編號cve 2018 17456的漏洞已在git 2.19.1中修復。u0026 xd u0026 xd 要觸發該漏洞,惡意庫可以偽造乙個.gitmodul...

Git Submodule新漏洞已修復

git社群披露了乙個影響clone和submodule命令的安全漏洞,當存在漏洞的機器訪問惡意庫時,這些命令可以遠端執行 這個由mitre分配了編號cve 2018 17456的漏洞已在git 2.19.1中修復。要觸發該漏洞,惡意庫可以偽造乙個.gitmodules,其中包含以破折號開頭的url。...

Git Submodule新漏洞已修復

git社群披露了乙個影響clone和submodule命令的安全漏洞,當存在漏洞的機器訪問惡意庫時,這些命令可以遠端執行 這個由mitre分配了編號cve 2018 17456的漏洞已在git 2.19.1中修復。要觸發該漏洞,惡意庫可以偽造乙個.gitmodules,其中包含以破折號開頭的url。...