GitHub建复9个Git缝隙风险公告

颁布功夫 2019-12-16

缝隙编号和级别


CVE编号：CVE-2019-1348， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1349， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1350， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1351， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1352， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1353， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1354， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-1387， ，，， ，，危险级别：高危， ，，， ，，CVSS分值：官方未评定

CVE编号：CVE-2019-19604， ，，， ，，危险级别：严沉， ，，， ，，CVSS分值：9.8


影响版本


Git 2.24及以下版本


缝隙概述


Git是一套免费、开源的散布式版本节造系统。。。。。。。它建复了如下九个缝隙， ，，， ，，其中CVE-2019-1350， ，，， ，，CVE-2019-1351， ，，， ，，CVE-2019-1352， ，，， ，，CVE-2019-1353和CVE-2019-1354是Windows特定的缝隙， ，，， ，，在克隆不受信赖的存储库时可能导致远程执行代码。。。。。。。CVE-2019-1352能够影响非Windows用户， ，，， ，，但前提是必须挂载NTFS卷。。。。。。。


CVE-2019-1348

git fast-import的--export-marks选项也通过以下方式公开流内号令职能export-marks = ...， ，，， ，，它允许覆盖肆意蹊径。。。。。。。


CVE-2019-1349

在某些情况下以递归方式克隆子�？？？？ ？？？？槭盙it可能被糊弄两次使用一样的Git目录。。。。。。。


CVE-2019-1350

号令行参数引用不正确允许远程代码与SSH URL一路在递归克隆期间执杏祝。。。。。。


CVE-2019-1351

物理驱动器上唯一允许使用的驱动器号 Windows是美国英语字母， ，，， ，，此限度不合用于通过subst<letter>:<path>分配的虚构驱动器。。。。。。。Git将此类蹊径误以为是相对蹊径， ，，， ，，从而允许在克隆时写在工作树表部。。。。。。。


CVE-2019-1352

Git不知路NTFS备用数据流， ，，， ，，克隆期间允许文件覆盖.git/目录。。。。。。。


CVE-2019-1353

在Linux的Windows子系统中运行Git时（也称为“ WSL”）， ，，， ，，在通例Windows驱动器上接见工作目录时， ，，， ，，没有任何NTFS�；；；；；； ； ；ごτ诨疃刺！�。。。。。


CVE-2019-1354

Linux / Unix上的文件名能够蕴含反斜杠。。。。。。。在Windows上， ，，， ，，反斜杠是目录分隔符。。。。。。。 Git并没有回绝用这样的文件名写出跟踪文件。。。。。。。


CVE-2019-1387

递归克隆当前受以下缝隙的影响：子�？？？？ ？？？？槊蒲橹す诳硭稍斐傻模� ，，， ，，允许通过递归克隆中的远程代码执行来进行有针对性的攻击。。。。。。。


CVE-2019-19604

“Git子�？？？？ ？？？？楦隆辈僮髂芄辉诵卸褚獯娲⒖獾�.gitmodules文件中找到的号令。。。。。。。


缝隙验证


暂无POC/EXP。。。。。。。


建复建议


目前厂商已颁布升级补丁以建复缝隙， ，，， ，，补丁获取链接：https://github.blog/2019-12-10-multiple-git-vulnerabilities-in-2-24-and-older/。。。。。。。


参考链接


https://www.cbronline.com/news/git-project-patches