Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - GitPython 是用于与 Git 存储库交互的 Python 库。为解析部分 git 引用，GitPython 会从 `.git` 目录中读取文件，在某些位置，正在读取的文件的名称是由用户提供的，GitPython 不会检查该文件是否位于 `.git` 目录之外。这允许攻击者可以让 GitPython 从系统中读取任何文件。该漏洞存在于 https://github.com/gitpython-developers/GitPython/blob/1c8310d7cae144f74a671cbe17e51f63a830adbf/git/refs/symbolic.py#L174-L175 中。该代码将基本目录与用户给定的字符串连接起来，但不检查最终路径是否位于基本目录之外。此漏洞不能用于读取文件内容，但在理论上可用于触发程序的拒绝服务。此问题已在版本 3.1.37中解决。 (CVE-2023-41040)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞: CVE-2023-41040

medium Nessus 插件 ID 226127

版本 1.5