Git for Windows 2.7.x < 2.7.6 / 2.8.x < 2.8.6 / 2.9.x < 2.9.5 / 2.10.x < 2.10.4 / 2.11.x < 2.11.13 / 2.12.x < 2.12.4 / 2.13.x < 2.13.5 / 2.14.x < 2.14.1 恶意 SSH URL 命令执行
high Nessus 插件 ID 102494
语言：
简介
远程 Windows 主机安装有受命令执行漏洞影响的应用程序。描述
远程主机上安装的 Git for Windows 版本为低于 2.7.6 的 2.7.x、低于 2.8.6 的 2.8.x、低于 2.9.5 的 2.9.x、低于 2.10.4 的 2.10.x、低于 2.11.13 的 2.11.x、低于 2.12.4 的 2.12.x、低于 2.13.5 的 2.13.x，或是低于 2.14.1 的 2.14.x。由于处理 ‘ssh://’ 中的缺陷，因而会受到命令执行漏洞的影响。以短划线开头的 URL。恶意创建的 ‘ssh://’URL 使得 Git 客户端运行任意 Shell 命令。此等 URL 可放置在恶意项目的 .gitmodules 文件中，欺骗未起疑心的受害者运行 ‘git clone --recurse-submodules’ 以触发漏洞。解决方案
升级版本至 Git for Windows 2.7.6 / 2.8.6 / 2.9.5 / 2.10.4 / 2.11.13 / 2.12.4 / 2.13.5 / 2.14.1 或更高版本。另见
http://www.nessus.org/u?894dcb77
http://www.nessus.org/u?c0aca1c0
http://www.nessus.org/u?4798389e
http://www.nessus.org/u?a099ed51
http://www.nessus.org/u?4c6ad422
http://www.nessus.org/u?6a506ef2
http://www.nessus.org/u?0d9668c9
http://www.nessus.org/u?d38639e5
插件详情
严重性: High
ID: 102494
文件名: git_for_windows_2_14_1.nasl
版本: 1.4
类型: local
代理: windows
系列: Windows
发布时间: 2017/8/15
最近更新时间: 2019/11/12
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: High
分数: 7.4
CVSS v2
风险因素: Medium
基本分数: 6.8
时间分数: 5.6
矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2017-1000117
CVSS v3
风险因素: High
基本分数: 8.8
时间分数: 8.2
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:F/RL:O/RC:C
漏洞信息
CPE: cpe:/a:git_for_windows_project:git_for_windows
必需的 KB 项: installed_sw/Git for Windows
可利用: true
易利用性: Exploits are available
补丁发布日期: 2017/8/10
漏洞发布日期: 2017/8/10
可利用的方式
Metasploit (Malicious Git HTTP Server For CVE-2017-1000117)
参考资料信息
CVE: CVE-2017-1000117