Git Submodule新漏洞已修復

git社群披露了乙個影響clone和submodule命令的安全漏洞，當存在漏洞的機器訪問惡意庫時，這些命令可以遠端執行**。這個由mitre分配了編號cve-2018-17456的漏洞已在git 2.19.1中修復。

\\ 要觸發該漏洞，惡意庫可以偽造乙個.gitmodules，其中包含以破折號開頭的url。這將影響git clone --recurse-submodules和git submodule update --recursive，因為它們會將這個以破折號開頭的url遞迴地傳遞給git clone或git submodule子程序，它們會將該url解釋為命令選項。這可能導致在本地機器上執行任意命令。這個漏洞類似於cve-2017-1000117，它也是通過偽造以破折號開頭的ssh url實現選項注入攻擊，由git執行的ssh子程序會將這些url解釋為命令選項。目前還沒有任何已知的不法行為。

\

我們還利用這段時間掃瞄了github上所有的庫，尋找它實際被用於實施攻擊的證據。我們很高興地告訴大家，沒有發現攻擊例項（現在，在我們的檢測下，就沒有例項可以新增了）。

\

正如@joernchen提交的修復漏洞的pr所顯示的那樣，修復本身非常簡單。不過，這一發現為.gitmodules的全面審計提供了機會，它會針對其中的路徑和url實現更嚴格的檢查。

\\ 如前所述，git 2.19.1包含了對這個漏洞的修復。另外，該補丁還被反向移植到了2.14.5、2.15.3、2.16.5、2.17.2和2.18.1版本。由於git整合到了github專案（如github desktop和atom）中，這些專案也已經得到了修復，所以你最好盡快公升級它們。

\\檢視英文原文：new git submodule vulnerability patched

Git Submodule新漏洞已修復

Git Submodule新漏洞已修復

Git Submodule新漏洞已修復

Git Submodule新漏洞已修復

相關推薦