Amazon Linux 2023：git-lfs (ALAS2023-2025-1258)

high Nessus 插件 ID 274682

语言：

简介

远程 Amazon Linux 2023 主机缺少安全更新。

描述

因此，它受到 ALAS2023-2025-1258 公告中提及的一个漏洞影响。

Git LFS 是一个用于对大文件进行版本控制的 Git 扩展。Git LFS 版本 0.5.2 到 3.7.0中当使用 Git LFS 对象的内容填充 Git 存储库的工作树时如果存在与存储库冲突的符号或硬链接则某些 Git LFS 命令可能会写入在当前 Git 工作树外部可见的文件中。 Git LFS 跟踪的文件的路径。写入工作树中的文件之前git lfs checkout 和 git lfs pull 命令未检查符号链接进而允许攻击者构建包含符号链接或硬链接的存储库造成 Git LFS 写入内核可访问的任意文件系统位置用户运行这些命令。此外当 git lfs checkout 和 git lfs pull 命令在裸存储库中运行时可写入在该存储库外部可见的文件。此漏洞已在版本 3.7.1中修复。变通方案为可通过将对 core.symlinks 配置选项设置为 false 来禁用 Git 中的符号链接支持此后进一步的克隆和提取将不会创建符号链接。但是，现有存储库中的任何符号链接或硬链接仍将为 Git LFS 写入其目标提供机会。 (CVE-2025-26625)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。