Git sérülékenységek


2018. május 30. 09:50

CH azonosító

CH-14441

Angol cím

Git Submodule Name Validation Flaw Lets Remote Users Execute Arbitrary Code on the Target System

Felfedezés dátuma

2018.05.28.

Súlyosság

Magas

Érintett rendszerek

Git

Érintett verziók

Git 2.x

Összefoglaló

A Git két sérülékenységét jelentették, amiket kihasználva a támadók bizalmas információkat szerezhetnek, vagy tetszőleges kódot futtathatnak a rendszeren.

Leírás

  • A szoftver nem megfelelően ellenőrzi a “names” almodult, ami egy nem megbízható .gitmodules állomány ‘$GIT_DIR/modules’ könyvtárba való feltöltésekor következik be. Ennek következtében egy távoli repository létre tud hozni vagy felül tud írni fájlokat speciálisan megszerkesztett tartalommal a klónozás folyamata során, ami pedig tetszőleges kód végrehajtását eredményezheti.
  • Az NTFS alapú fájlrendszerek elérési útvonalak feldolgozásában lévő hibát kihasználva illetéktelenül lehet olvasni a memóriából.

Megoldás

Frissítsen a legújabb verzióra

Támadás típusa

Input manipulation (Bemenet módosítás)

Hatás

Loss of integrity (Sértetlenség elvesztése)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: securitytracker.com
CVE-2018-11235 - NVD CVE-2018-11235
CVE-2018-11233 - NVD CVE-2018-11233

Legfrissebb sérülékenységek
CVE-2025-40602 – SonicWall SMA1000 Missing Authorization sérülékenysége
CVE-2025-59374 – ASUS Live Update Embedded Malicious Code sérülékenysége
CVE-2025-20393 – Cisco Multiple Products Improper Input Validation sérülékenysége
CVE-2025-58360 – OSGeo GeoServer Improper Restriction of XML External Entity Reference sérülékenysége
CVE-2018-4063 – Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type sérülékenysége
CVE-2025-14174 – Google Chromium Out of Bounds Memory Access sérülékenysége
CVE-2025-14611 – Gladinet CentreStack and Triofox Hard Coded Cryptographic sérülékenysége
CVE-2025-43529 – Apple Multiple Products Use-After-Free WebKit sérülékenysége
CVE-2025-21621 – GeoServer Reflected Cross-Site Scripting (XSS) sérülékenység
CVE-2025-64471 – Fortinet FortiWeb sérülékenysége
Tovább a sérülékenységekhez »