重要文件

首页  >  重要文件

Git 爆任意代码执行漏洞,所有使用者都受影响(CVE 2018-11235)

发布日期:2018-06-11 浏览次数:2636 来源:本站

Git简介
Git(读音为/gɪt/。)是一个开源的分布式版本控制系统,可以有效、高速的处理从很小到非常大的项目版本管理。 Git是 Linus Torvalds 为了帮助管理 Linux 内核开发而开发的一个开放源码的版本控制软件。
漏洞情况
Git 由于在处理子模块代码库的设置档案存在漏洞,导致开发者可能遭受任代码执行攻击,多数代码托管服务皆已设置拒绝有问题的代码储存库,但建议使用者尽快更新,避免不必要的风险。
MicrosoftVisual Studio 团队服务项目经理 Edward Thomson May 在 DevOps 博客中提到,Git 社区最近发现 Git 存在一个漏洞,允许黑客执行任意代码。他敦促开发人员尽快更新客户端应用程序。微软还采取了进一步措施,防止恶意代码库被推入微软的 VSTS(Visual Studio Team Services)。
此代码是 CVE 2018-11235 中的一个安全漏洞。当用户在恶意代码库中操作时,他们可能会受到任意代码执行攻击。远程代码存储库包含子模块定义和数据,它们作为文件夹捆绑在一起并提交给父代码存储库。当这个代码仓库被来回复制时,Git 最初会将父仓库放到工作目录中,然后准备复制子模块。
但是,Git 稍后会发现它不需要复制子模块,因为子模块之前已经提交给父存储库,它也被写入工作目录,这个子模块已经存在于磁盘上。因此,Git 可以跳过抓取文件的步骤,并直接在磁盘上的工作目录中使用子模块。
但是,并非所有文件都可以被复制。当客户端复制代码库时,无法从服务器获取重要的配置。这包括 .git 或配置文件的内容。另外,在Git 工作流中的特定位置执行的钩子(如Git)将在将文件写入工作目录时执行 Post-checkout 钩子。
不应该从远程服务器复制配置文件的一个重要原因就是,远程服务器可能提供由 Git 执行的恶意代码。
CVE2018-11235 的漏洞正是犯了这个错误,所以 Git 有子模块来设置漏洞。子模块存储库提交给父存储库,并且从未实际复制过。子模块存储库中可能存在已配置的挂钩。当用户再次出现时,恶意的父库会被精心设计。将写入工作目录,然后 Git 读取子模块,将这些子模块写入工作目录,最后一步执行子模块存储库中的任何 Post-checkout 挂钩。
为了解决这个问题,Git 客户端现在将更仔细地检查子文件夹文件夹名称。包含现在非法的名称,并且它们不能是符号链接,因此这些文件实际上必须存在于 .git 中,而不能位于工作目录中。
解决方案
更新到最新版本。
来源:CSPEC立体防护