远程主机上安装的 git 版本低于 2.30.6 / 2.35.5 / 2.38.1。因此，该应用程序受到 SSA:2022-291-01 公告中提及的多个漏洞的影响。

  - 依赖 `--local` 克隆优化时，Git 在目标存储库中创建取消引用链接的硬链接（或副本）之前会取消引用源存储库中的符号链接。这会导致意外行为，即，当从恶意存储库克隆时，存储库的 `$GIT_DIR` 中存在恶意文件。Git 将不再通过 `--local` 克隆机制取消引用符号链接，而是拒绝克隆在 `$GIT_DIR/objects` 目录中存在符号链接的存储库。此外，“protocol.file.allow”的值默认为 user。提供给“git shell”的超长命令字符串可导致“split_cmdline()”溢出，从而在暴露“git shell”且目录“$HOME/git-shell-commands”时存在导致任意堆写入和远程代码执行。 “git shell”被告知拒绝大小超过 4MiB 的交互式命令。
    “split_cmdline()”已强化，可拒绝大于 2GiB 的输入。 (CVE-2022-39253、CVE-2022-39260)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Slackware Linux 14.0 / 14.1 / 14.2 / 15.0 / 当前 git 多个漏洞 (SSA:2022-291-01)

high Nessus 插件 ID 166228

版本 1.2