This update for git fixes the following issues :

  - CVE-2018-17456: Git allowed remote code execution during     processing of a recursive 'git clone' of a superproject     if a .gitmodules file has a URL field beginning with a     '-' character. (boo#1110949).

This update was imported from the SUSE:SLE-15:Update update project.

According to the version of the git packages installed, the EulerOS installation on the remote host is affected by the following vulnerability :

  - git: arbitrary code execution via .gitmodules     (CVE-2018-17456)

Note that Tenable Network Security has extracted the preceding description block directly from the EulerOS security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このlibgit2用の更新プログラムでは、次の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2018-17456：再帰的な複製を実行するライブラリ消費者へのオプションのインジェクションを回避するために、先頭に「-」が付いたサブモジュールURLおよびパスが無視されるようになりました（bsc#1110949）。

セキュリティ以外の修正された問題：

  - バージョン0.26.8へのバージョン更新（bsc#1114729）。

  - 完全な変更ログは以下を参照してください：

  -https://github.com/libgit2/libgit2/releases/tag/v0.26.8

  -https://github.com/libgit2/libgit2/releases/tag/v0.26.7

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

セキュリティ修正プログラム:

  - git: .gitmodulesによる任意のコードの実行（CVE-2018-17456）

git が git のサブモジュール url やパスを適切に検証していないことが発見されました。リモートの攻撃者がこれを利用して、再帰的な演算子が使用されているときに任意のコードの実行を引き起こすgitリポジトリを作成する可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

バージョン2.14.5より前のGitで.gitmodulesファイルに 「-」文字で始まるURLフィールドがある場合、スーパープロジェクトの再帰的な「git clone」の処理中にリモートでコードが実行される可能性があります。（CVE-2018-17456）

このgitの更新では、次の問題を修正します：

CVE-2018-17456：Gitで.gitmodulesファイルに「-」文字で始まるURLフィールドがある場合、スーパープロジェクトの再帰的な「git clone」の処理中にリモートでコードが実行される可能性があります。（boo#1110949）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このlibgit2用の更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-17456：再帰的な複製を実行するライブラリ消費者へのオプションのインジェクションを回避するために、先頭に「-」が付いたサブモジュールURLおよびパスが無視されるようになりました（bsc#1110949）。

修正された非セキュリティ問題：バージョン0.26.8へのバージョン更新（bsc#1114729）。

完全な変更ログは以下を参照してください：

  -https://github.com/libgit2/libgit2/releases/tag/v0.26.8

  -https://github.com/libgit2/libgit2/releases/tag/v0.26.7

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

「git clone
--recurse-submodules」で問題を解決するUpstreamセキュリティ更新。

[Upstreamリリース発表]（https://public-inbox.org/git/xmqqy3bcuy3l.fsf@gitster-ct .c.googlers.com/）から：

>これらのリリースでは、セキュリティ欠陥（CVE-2018-17456）が修正されます。この欠陥により、攻撃者が、--recurse-submodulesで複製されたプロジェクトで悪意のある .gitmodules >ファイルを細工することで、任意のコードを実行することが可能でした。> >「git clone --recurse-submodules 」を実行する場合、GitはURLフィールドに対して提供された> .gitmodulesファイルを解析し、それを引数として「git clone」サブプロセスに盲目的に渡します。URLフィールドがダッシュで始まる文字列に設定されている場合、この「git clone」サブプロセスはURLをオプションと解釈します。これにより、「git clone」を実行したユーザーとして、スーパープロジェクトで出荷される任意のスクリプトが実行される可能性があります。> >「clone」を実行しているユーザーのセキュリティ問題の修正に加えて、2.17.2、2.18.1、2.19.1リリースには「fsck」チェックがあり、これを利用して、プッシュのフェッチまたは受け入れを行う際に、このような悪意のあるリポジトリコンテンツを検出することが可能です。git-config(1)の「transfer.fsckObjects」を参照してください。> >この脆弱性の発見および修正は、それぞれjoernchenおよびJeff Kingに感謝の意を表します。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのWindowsホストにインストールされているAtlassian SourceTreeのバージョンは、3.0.17より前のバージョン0.5aです。したがって、リモートでコードが実行される複数の脆弱性の影響を受けます。

  - オプションインジェクションの脆弱性がgitサブモジュールコンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された.gitmodulesファイルを使用してプロジェクトの再帰的gitクローンを処理することによって、任意のコマンドを実行する可能性があります。
  (CVE-2018-17456)

  - An argument injection vulnerability exists in the Mercurial repository component. An authenticated, remote attacker can exploit this via filenames in the Mercurial repositories to execute arbitrary commands. (CVE-2018-20234, CVE-2018-20235)

  - A command injection vulnerability exists in the URI handling component. An unauthenticated, remote attacker could exploit this via sending a malicious URI to a victim to execution arbitrary commands. (CVE-2018-20236)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
123340	openSUSE Security Update : git (openSUSE-2019-802)	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/10	critical
124387	EulerOS 2.0 SP5 : git (EulerOS-SA-2019-1291)	Nessus	Huawei Local Security Checks	2019/4/30	2024/5/30	critical
135580	SUSE SLES12 Security Update : git (SUSE-SU-2020:0992-1)	Nessus	SuSE Local Security Checks	2020/4/15	2022/5/13	critical
123403	openSUSEセキュリティ更新プログラム：libgit2 (openSUSE-2019-986)	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/7	critical
133447	Scientific Linux セキュリティ更新: SL6.x i386/x86_64のgit（20200203）	Nessus	Scientific Linux Local Security Checks	2020/2/4	2024/3/28	critical
118083	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS : Gitの脆弱性 (USN-3791-1)	Nessus	Ubuntu Local Security Checks	2018/10/12	2024/8/27	critical
118400	Amazon Linux 2：git（ALAS-2018-1093）	Nessus	Amazon Linux Local Security Checks	2018/10/26	2024/7/29	critical
119206	Scientific Linux セキュリティ更新: SL7.x x86_64のgit（20181031）	Nessus	Scientific Linux Local Security Checks	2018/11/27	2024/7/18	critical
120129	SUSE SLED15 / SLES15セキュリティ更新プログラム：git（SUSE-SU-2018:3150-1）	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/10	critical
120182	SUSE SLED15 / SLES15セキュリティ更新プログラム：libgit2 (SUSE-SU-2018:4009-1)	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/9	critical
120213	Fedora 29：git（2018-06090dff59）	Nessus	Fedora Local Security Checks	2019/1/3	2024/7/9	critical
122854	Atlassian SourceTree 0.5a < 3.0.17のリモートで複数のコードが実行される脆弱性	Nessus	Windows	2019/3/14	2022/5/23	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical