在快速且可扩展的分布式版本控制系统 git 中发现多个漏洞。

CVE-2019-1348

报告称，git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，允许覆写任意路径。

CVE-2019-1387

发现未对子模块名称进行足够严格的验证，从而导致在执行递归克隆时可以通过远程代码执行有针对性的攻击。

此外，此更新还解决了许多安全问题，但只有 git 在 NTFS 文件系统上（CVE-2019-1349、CVE-2019-1352 和 CVE-2019-1353）运行时，这些问题才会存在。

对于 Debian 8“Jessie”，已在版本 1:2.1.4-2.1+deb8u8 中修复这些问题。

建议您升级 git 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Microsoft Visual Studio 产品缺少安全更新。因而受到多个漏洞的影响： - Visual Studio 中的 Git 未正确处理虚拟驱动器路径时，存在篡改漏洞。成功利用此漏洞的攻击者可在易受影响的系统的某些位置写入任意文件和目录。但攻击者对文件和目录目的地的控制有限。(CVE-2019-1351) - Visual Studio 中的 Git 未正确审查输入时，存在远程代码执行漏洞。成功利用此漏洞的攻击者可控制受影响的系统。然后，攻击者可安装程序、查看/更改/删除数据或创建具有完全用户权限的新帐户。其帐户被配置为具备较少系统权限的用户，将比以采用特权帐户进行操作的用户所受的影响更小。(CVE-2019-1349, CVE-2019-1350, CVE-2019-1352, CVE-2019-1354, CVE-2019-1387) - 连接到 Live Share 会话的客户机重定向到会话主机指定的任意 URL 时，Visual Studio Live Share 中存在伪造漏洞。成功利用此漏洞的攻击者可造成已连接的客户机计算机在未经客户机同意的情况下打开浏览器，并导航至 URL。(CVE-2019-1486)

git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，并且允许覆写任意路径。(CVE-2019-1348) 当子模块受到递归克隆时，在特定条件下 Git 可能会受到欺骗造成两次使用同一个 Git 目录。我们现已要求目录必须为空。(CVE-2019-1349) 未正确引用命令行参数，在结合 SSH URL 进行递归克隆的过程中可能会造成远程代码执行。(CVE-2019-1350) 尽管 Windows 物理驱动器中唯一允许的盘符是英语字母，但此限制未应用于虚拟驱动器。Git 会将此类路径误认为相对路径，从而允许克隆过程中在 worktree 以外写入。(CVE-2019-13510) Git 未意识到 NTFS 替代数据流，从而允许克隆过程中覆写 .git/ 目录内的文件。(CVE-2019-1352) 当 Windows Subsystem for Linux（又称为“WSL”）上运行 Git 时，在常规的 Windows 驱动器上访问工作目录不会激活任何 NTFS 保护。(CVE-2019-1353) Linux/Unix 中的文件名可包含反斜线。在 Windows 中，反斜线是目录分隔符。Git 未用于拒绝写出带有此类文件名的跟踪文件。(CVE-2019-1354) 由于对子模块名称的验证过于宽松，造成目前递归克隆会受到一个漏洞的影响，使得能够通过递归克隆中的远程代码执行发动非常有针对性的攻击。(CVE-2019-1387)

Git 将某些路径误认为相对路径，从而允许克隆过程中在 worktree 以外写入 (CVE-2019-1351)

在适用于 Linux 的 Windows 子系统中运行 Git 时，NTFS 保护未激活。(CVE-2019-1353)

含有嵌套子模块的递归克隆中存在远程代码执行 (CVE-2019-1387)

通过 export-marks 命令选项造成任意路径覆盖 (CVE-2019-1348)

.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

递归子模块克隆允许使用 git 目录两次，并以 .git/ 编写同义目录名称 (CVE-2019-1349)

未正确引用命令行参数，导致递归克隆的过程中可执行远程代码 (CVE-2019-1350)

Git 未拒绝写出文件名中带有反斜线的跟踪文件 (CVE-2019-1354)

递归克隆后如果紧接着进行子模块更新，就可能会在未经用户明确同意的情况下执行存储库内包含的代码。由于“git submodule update”操作可运行恶意存储库的 .gitmodules 文件中发现的命令，因此 2.20.2 之前版本、2.21.1 之前的 2.21.x 版本、2.22.2 之前的 2.22.x 版本、2.23.1 之前的 2.23.x 版本和 2.24.1 之前的 2.24.x 版本 Git 中可能会存在任意命令执行。(CVE-2019-19604)

远程主机上安装的 git 版本低于 2.23.1-0。因此，该软件受到 ALAS2-2025-2818 公告中提及的多个漏洞影响。

    在 git 快速导入命令中发现一个缺陷，该命令在其中提供可能意外覆盖任意路径的 export-marks 功能。如果攻击者可以通过使用导出标记功能来控制传递到快速导入命令的输入并覆盖任意文件，则可以滥用此缺陷，但不会完全控制文件内容。 (CVE-2019-1348)

    在处理 git 子模块的方式中，发现 git 中存在输入验证缺陷。远程攻击者可滥用此缺陷，诱骗受害者用户进行递归克隆恶意存储库，其在某些情况下可欺骗 git 两次使用相同的 git 目录，从而可能造成远程代码执行。 (CVE-2019-1349)

    Git for Visual Studio 未正确审查输入时，存在远程代码执行漏洞，即“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1350)

    当 Git for Visual Studio 未正确处理虚拟驱动器路径时，存在篡改漏洞，亦称“Git for Visual Studio 篡改漏洞”。 (CVE-2019-1351)

    Git for Visual Studio 未正确审查输入时，存在远程代码执行漏洞，即“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1352)

    在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2 之前的 Git 中发现问题。 14.6.访问常规 Windows 驱动器上的工作目录的同时，Linux 的 Windows 子系统（也称为 WSL）中运行 Git 时，任何 NTFS 保护都不会激活。
    (CVE-2019-1353)

    Git for Visual Studio 未正确审查输入时，存在远程代码执行漏洞，即“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1352、CVE-2019-1387 不同。(CVE-2019-1354)

    发现了一个缺陷，其中 git 未正确验证用于构造 git 元数据路径的子模块名称，并且未防止将这些名称嵌套在用于存储另一个子模块的元数据的现有目录中。远程攻击者可滥用此缺陷，以诱骗受害者用户复制包含子模块的恶意存储库。当以递归方式复制子模块时，将触发该缺陷，并在受害者计算机上远程执行代码。(CVE-2019-1387)

    在 git 中发现一个安全绕过，其允许在更新 git 子模块期间执行任意命令。远程攻击者可诱骗受害者用户克隆最初看似正常的恶意存储库，允许在子模块初始化期间绕过阻止执行任意命令的安全机制。在受害者用户更新存储库和子模块后，易受攻击的 git 版本可能会使用 .gitmodules 文件中的更新设置，并执行任意命令。 (CVE-2019-19604)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 9 主机上安装的多个程序包受到 dla-2936 公告中提及的多个漏洞影响。

  - 在 libgit2 0.27.3 之前版本中发现一个缺陷。在 delta.c 文件的 git_delta_apply 函数中发现一个意外符号扩展漏洞，该漏洞可能造成整数溢出，进而导致越界读取，并使得读取在基本对象之前发生。攻击者可能会利用此缺陷泄露内存地址或造成拒绝服务。(CVE-2018-10887)

  - 在 libgit2 0.27.3 之前版本中发现一个缺陷。delta.c 文件的 git_delta_apply 函数中存在一个遗漏检查漏洞，该漏洞可能导致在读取二进制 delta 文件时发生越界读取问题。攻击者可利用此缺陷造成拒绝服务。(CVE-2018-10888)

  - 在 libgit2 0.26.6 之前版本以及 0.27.4 之前的 libgit2 0.27.x 版本的 transports/smart_pkt.c 的 ng_pkt 中，远程攻击者可通过发送所构建的缺少“\0”字节的 smart-protocol ng 数据包来触发越界读取，进而引致 DoS。(CVE-2018-15501)

  - 在 libgit2 0.26.2 之前版本中解压缩被压缩的前缀长度时，index.c: read_entry() 函数中存在整数溢出漏洞，该漏洞允许攻击者通过构建的存储库索引文件造成拒绝服务（越界读取）。(CVE-2018-8098)

  - 在 libgit2 0.26.2 之前版本中，错误地返回错误代码将导致 index.c: read_entry() 函数中出现双重释放漏洞，该漏洞允许攻击者通过构建的存储库索引文件造成拒绝服务。(CVE-2018-8099)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1352)

  - 在 Git 2.24.1、2.23.1、2.22.2、2.21.1、2.20.2、2.19.3、2.18.2、2.17.3、2.16.6、2.15.4 和 2.14.6 之前版本中发现一个问题。当在 Linux 版 Windows 子系统（也称为 WSL）中运行 Git 并访问常规 Windows 驱动程序上的工作目录时，没有任何 NTFS 保护工具处于活动状态。
    (CVE-2019-1353)

  - 在 libgit2 0.28.4 之前版本和 0.99.0 之前的 libgit2 0.9x 版本中发现一个问题。path.c 错误地处理了因 NTFS 交换数据流而存在的相等文件名。该问题可能允许攻击者在克隆存储库时执行远程代码。此问题类似于 CVE-2019-1352。(CVE-2020-12278)

  - 在 libgit2 0.28.4 之前版本和 0.99.0 之前的 libgit2 0.9x 版本中发现一个问题。checkout.c 会错误地处理因 NTFS 缩写名而存在的相等文件名。该问题可能允许攻击者在克隆存储库时执行远程代码。此问题类似于 CVE-2019-1353。(CVE-2020-12279)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

来自 Red Hat 安全公告 2019:4356： git 更新现可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Git 是一种包含分散式架构的分布式版本控制系统。与包含客户端服务器模型的集中化版本控制系统相反，Git 确保 Git 存储库每个工作的副本均为包含完整修订历史记录的实际副本。这便使用户不仅能够在不具备将更改送入官方存储库权限的情况下使用和促进项目，还能够在无网络连接情况下工作。 下列程序包已升级到更新的上游版本： git (2.18.2)。(BZ#1784058) 安全补丁： * git：含有嵌套子模块递归克隆中的远程代码执行 (CVE-2019-1387) * git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348) * git：递归子模块克隆允许使用 git 目录两次，并以 .git / 编写同义目录名称 (CVE-2019-1349) * git：.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程主机受到 GLSA-202003-30 中所述漏洞的影响（Git：多个漏洞）在 Git 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：攻击者可能覆写任意路径、执行任意代码并覆写 .git 目录中的文件。解决方法：目前无任何已知的解决方法。

Joern Schneeweisz 和 Nicolas Joly 发现 Git 包含多种安全缺陷。攻击者可能利用这些问题覆写任意路径、执行任意代码并覆写 .git 目录中的文件。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020:0002 公告中提及的多个漏洞的影响。

  - git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348)

  - git：递归子模块克隆允许使用 git 目录两次，并以 .git / 编写同义目录名称 (CVE-2019-1349)

  - git：目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

  - git：含有嵌套子模块递归克隆中的远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

git 更新现可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Git 是一种包含分散式架构的分布式版本控制系统。与包含客户端服务器模型的集中化版本控制系统相反，Git 确保 Git 存储库每个工作的副本均为包含完整修订历史记录的实际副本。这便使用户不仅能够在不具备将更改送入官方存储库权限的情况下使用和促进项目，还能够在无网络连接情况下工作。下列程序包已升级到更新的上游版本：git (2.18.2)。(BZ#1784058) 安全修复：* git：含嵌套子模块递归克隆的远程代码执行 (CVE-2019-1387) * git：通过 export-marks in-stream 命令功能覆盖任意路径 (CVE-2019-1348) * git：递归子模块克隆允许使用两次 git 目录，并以 .git / 编写同义目录名称 (CVE-2019-1349) * git：通过 NTFS 交换数据流进行克隆期间，可能覆盖 .git 目录内的文件 (CVE-2019-1352) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

在快速且可扩展的分布式版本控制系统 git 中发现多个漏洞。

  - CVE-2019-1348 报告称，git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，允许覆写任意路径。

  - CVE-2019-1387 发现未对子模块名称进行足够严格的验证，从而导致在执行递归克隆时可以通过远程代码执行有针对性的攻击。

  - CVE-2019-19604 Joern Schneeweisz 报告了一个漏洞，即在子模块更新之后执行递归克隆，这可能会在用户未明确要求的情况下执行存储库中的代码。“.gitmodules”现在不允许包含设置“submodule.<name>.update=!command”的条目。

此外，此更新还解决了许多安全问题，但只有 git 在 NTFS 文件系统上（CVE-2019-1349、CVE-2019-1352 和 CVE-2019-1353）运行时，这些问题才会存在。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0228 公告中提及的多个漏洞的影响。

  - git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348)

  - git：递归子模块克隆允许使用 git 目录两次，并以 .git/ 编写同义目录名称 (CVE-2019-1349)

  - git：.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

  - git：含有嵌套子模块的递归克隆中存在远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 4356 公告中提及的多个漏洞的影响。

  - git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348)

  - git：递归子模块克隆允许使用 git 目录两次，并以 .git/ 编写同义目录名称 (CVE-2019-1349)

  - git：.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

  - git：含有嵌套子模块的递归克隆中存在远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 git 版本低于 2.23.1-0。因此，它受到 ALAS2-2023-1943 公告中提及的多个漏洞影响。

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前的 Git 中发现问题。 git 快速导入的 --export-marks 选项也会通过 in-stream 命令功能 export-marks=... 显现，并且允许覆盖任意路径。(CVE-2019-1348)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1350、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1349)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1350)

  - Visual Studio 中的 Git 未正确处理虚拟驱动器路径时，存在篡改漏洞，即“Git for Visual Stud 篡改漏洞”。(CVE-2019-1351)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1352)

  - 在 Git 2.24.1、2.23.1、2.22.2、2.21.1、2.20.2、2.19.3、2.18.2、2.17.3、2.16.6、2.15.4 和 2.14.6 之前版本中发现一个问题。当在 Linux 版 Windows 子系统（也称为 WSL）中运行 Git 并访问常规 Windows 驱动程序上的工作目录时，没有任何 NTFS 保护工具处于活动状态。
    (CVE-2019-1353)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1352、CVE-2019-1387 不同。(CVE-2019-1354)

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前版本的 Git 中发现了一个问题。目前，递归克隆受到一个漏洞的影响，原因是对子模块名称的验证过于松散，导致可以在递归克隆中通过远程代码执行进行非常有针对性的攻击。(CVE-2019-1387)

  - 由于“git submodule update”操作可运行恶意存储库的 .gitmodules 文件中发现的命令，因此 2.20.2 之前版本、2.21.1 之前的 2.21.x 版本、2.22.2 之前的 2.22.x 版本、2.23.1 之前的 2.23.x 版本和 2.24.1 之前的 2.24.x 版本 Git 中可能会存在任意命令执行。(CVE-2019-19604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
133218	Debian DLA-2059-1：git 安全更新	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	critical
131939	Microsoft Visual Studio 产品的安全更新（2019 年 12 月）	Nessus	Windows : Microsoft Bulletins	2019/12/10	2024/4/4	high
132026	Amazon Linux AMI：git (ALAS-2019-1325)	Nessus	Amazon Linux Local Security Checks	2019/12/13	2024/4/4	critical
132259	Amazon Linux 2：git (ALAS-2019-1371)	Nessus	Amazon Linux Local Security Checks	2019/12/19	2024/4/3	critical
234508	Amazon Linux 2：git (ALAS-2025-2818)	Nessus	Amazon Linux Local Security Checks	2025/4/17	2025/4/17	critical
159090	Debian DLA-2936-1：libgit2 - LTS 安全更新	Nessus	Debian Local Security Checks	2022/3/21	2025/1/24	critical
132381	Oracle Linux 8 : git (ELSA-2019-4356)	Nessus	Oracle Linux Local Security Checks	2019/12/23	2024/10/23	high
134607	GLSA-202003-30：Git：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/16	2024/3/22	critical
132015	Ubuntu 16.04 LTS / 18.04 LTS：Git 漏洞 (USN-4220-1)	Nessus	Ubuntu Local Security Checks	2019/12/12	2024/8/27	critical
170322	RHEL 7：rh-git218-git (RHSA-2020:0002)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	high
132331	RHEL 8 : git (RHSA-2019:4356)	Nessus	Red Hat Local Security Checks	2019/12/20	2024/11/7	high
131966	Debian DSA-4581-1：git - 安全更新	Nessus	Debian Local Security Checks	2019/12/12	2024/4/4	critical
133281	RHEL 8：git (RHSA-2020: 0228)	Nessus	Red Hat Local Security Checks	2020/1/28	2024/11/7	high
145577	CentOS 8：git (CESA-2019: 4356)	Nessus	CentOS Local Security Checks	2021/1/29	2024/1/25	high
171819	Amazon Linux 2：git (ALAS-2023-1943)	Nessus	Amazon Linux Local Security Checks	2023/2/23	2024/12/11	critical

检测

插件搜索

critical

high

critical

critical

critical

critical

high

critical

critical

high

high

critical

high

high

critical