更新后的 git 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Git 是一种包含分散式架构的分布式版本控制系统。与包含客户端服务器模型的集中化版本控制系统相反，Git 确保 Git 存储库每个工作的副本均为包含完整修订历史记录的实际副本。这便使用户不仅能够在不具备将更改送入官方存储库权限的情况下使用和促进项目，还能够在无网络连接情况下工作。

发现 git-remote-ext 帮助程序处理某些 URL 的方式中存在缺陷。如果用户将 Git 配置为自动从不受信任的存储库中克隆子模块，则攻击者可将命令注入子模块的 URL 中，并允许他们在用户系统上执行任意代码。(BZ#1269794)

建议所有 git 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

Blake Burkhart 发现 Git git-remote-ext 帮助程序未正确处理 git 存储库的递归克隆。远程攻击者可能利用此问题，通过构建的 URL 注入命令以执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Git 发行说明：

某些协议（例如 git-remote-ext）可执行在 URL 中发现的任意代码。这些子模块使用的 URL 可能来自任意源（例如远程存储库中的 .gitmodules 文件）并可对盲目地启用递归获取的人造成损害。将允许的协议限制为仅供熟悉和安全的人员使用。

来自 Red Hat 安全公告 2015:2561：

更新后的 git 程序包修复了一个安全问题，现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Git 是一种包含分散式架构的分布式版本控制系统。与包含客户端服务器模型的集中化版本控制系统相反，Git 确保 Git 存储库每个工作的副本均为包含完整修订历史记录的实际副本。这便使用户不仅能够在不具备将更改送入官方存储库权限的情况下使用和促进项目，还能够在无网络连接情况下工作。

发现 git-remote-ext 帮助程序处理某些 URL 的方式中存在缺陷。如果用户将 Git 配置为自动从不受信任的存储库中克隆子模块，则攻击者可将命令注入子模块的 URL 中，并允许他们在用户系统上执行任意代码。(BZ#1269794)

建议所有 git 用户升级这些更新后的程序包，其中包含用于修正此问题的向后移植的修补程序。

为 Slackware 13.0、13.1、13.37、14.0、14.1 和当前版本提供了用于修复安全问题的新 mercurial 程序包。

远程 Oracle Linux 6 / 7 主机上安装的程序包收到 ELSA-2015-2515 公告中提及的漏洞的影响。

  - 2.3.10 之前的 Git、2.4.10 之前的 2.4.x、2.5.4 之前的 2.5.x 以及 2.6.1 之前的 2.6.x 中的 (1) git-remote-ext 和 (2) 不明的其他远程帮助程序未正确限制允许的协议，这可能允许远程攻击者通过 (a) .gitmodules 文件或 (b) 子模块中的其他未知来源中的 URL 执行任意代码。(CVE-2015-7545)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

发现 git-remote-ext 帮助程序处理某些 URL 的方式中存在缺陷。如果用户将 Git 配置为自动从不受信任的存储库中克隆子模块，则攻击者可将命令注入子模块的 URL 中，并允许他们在用户系统上执行任意代码。

更新 git 程序包以修复以下安全问题：

- CVE-2015-7545：通过递归获取子模块修复远程代码执行 (bsc#948969)。

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Blake Burkhart 发现 Git git-remote-ext 帮助程序未正确处理 git 存储库的递归克隆。远程攻击者可能利用此问题，通过特别构建的 URL 注入命令，以此来执行任意代码。

远程主机受到 GLSA-201605-01 中所述漏洞的影响（Git：多种漏洞）

Git 容易受到因克隆具有大型文件名或大量嵌套树状结构的存储库，而导致的远程执行任意代码影响。
 此外，Git 内有部分协议（例如：git-remote-ext）可执行 URL 中发现的任意代码。子模块使用的 URL 可能来自任意源（例如远程存储库中的 .gitmodules 文件），且可影响启用递归提取的用户。将允许的协议限制为仅供熟悉和安全的人员使用。
 影响：

远程攻击者可对客户端和服务器执行任意代码。
 变通方案：

目前无任何已知的变通方案。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
87282	CentOS 7：git (CESA-2015:2561)	Nessus	CentOS Local Security Checks	2015/12/10	2021/1/4	critical
87407	Ubuntu 14.04 LTS：Git 漏洞 (USN-2835-1)	Nessus	Ubuntu Local Security Checks	2015/12/16	2024/8/27	critical
86450	FreeBSD：Git -- 执行任意代码 (7f645ee5-7681-11e5-8519-005056ac623e)	Nessus	FreeBSD Local Security Checks	2015/10/20	2021/1/6	critical
87272	Oracle Linux 7：git (ELSA-2015-2561)	Nessus	Oracle Linux Local Security Checks	2015/12/9	2024/10/22	critical
87275	RHEL 7：git (RHSA-2015:2561)	Nessus	Red Hat Local Security Checks	2015/12/9	2019/10/24	critical
90836	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：mercurial (SSA:2016-123-01)	Nessus	Slackware Local Security Checks	2016/5/3	2021/1/14	critical
181027	Oracle Linux 6 / 7：git19-git (ELSA-2015-2515)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	critical
87339	Amazon Linux AMI：git (ALAS-2015-613)	Nessus	Amazon Linux Local Security Checks	2015/12/15	2018/4/18	critical
87589	SUSE SLES12 安全更新：git 的建议更新 (SUSE-SU-2015:2325-1)	Nessus	SuSE Local Security Checks	2015/12/22	2021/1/6	critical
87742	Debian DSA-3435-1：git - 安全更新	Nessus	Debian Local Security Checks	2016/1/6	2021/1/11	critical
90849	GLSA-201605-01：Git：多种漏洞	Nessus	Gentoo Local Security Checks	2016/5/3	2021/1/11	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical