Git 爆任意代码执行漏洞,全球使用者都受影响

时间:2018-06-03 09:27:02 作者:清风轩 阅读: 1386 点赞: 15 分享: 95

Git 由于在处理子模块代码库的设置档案存在漏洞,导致开发者可能遭受任代码执行攻击,多数代码托管服务皆已设置拒绝有问题的代码储存库,但建议使用者尽快更新,避免不必要的风险。

Microsoft Visual Studio 团队服务项目经理 Edward Thomson May 在 DevOps 博客中提到,Git 社区最近发现 Git 存在一个漏洞,允许黑客执行任意代码。 他敦促开发人员尽快更新客户端应用程序。 微软还采取了进一步措施,防止恶意代码库被推入微软的 VSTS(Visual Studio Team Services)。

此代码是 CVE 2018-11235 中的一个安全漏洞。 当用户在恶意代码库中操作时,他们可能会受到任意代码执行攻击。 远程代码存储库包含子模块定义和数据,它们作为文件夹捆绑在一起并提交给父代码存储库。 当这个代码仓库被来回复制时,Git 最初会将父仓库放到工作目录中,然后准备复制子模块。

但是,Git 稍后会发现它不需要复制子模块,因为子模块之前已经提交给父存储库,它也被写入工作目录,这个子模块已经存在于磁盘上。 因此,Git 可以跳过抓取文件的步骤,并直接在磁盘上的工作目录中使用子模块。

但是,并非所有文件都可以被复制。 当客户端复制代码库时,无法从服务器获取重要的配置。 这包括 .git 或配置文件的内容。 另外,在 Git 工作流中的特定位置执行的钩子(如Git)将在将文件写入工作目录时执行 Post-checkout 钩子。

不应该从远程服务器复制配置文件的一个重要原因就是,远程服务器可能提供由 Git 执行的恶意代码。

CVE 2018-11235 的漏洞正是犯了这个错误,所以 Git 有子模块来设置漏洞。 子模块存储库提交给父存储库,并且从未实际复制过。 子模块存储库中可能存在已配置的挂钩。 当用户再次出现时,恶意的父库会被精心设计。 将写入工作目录,然后 Git 读取子模块,将这些子模块写入工作目录,最后一步执行子模块存储库中的任何 Post-checkout 挂钩。

为了解决这个问题,Git 客户端现在将更仔细地检查子文件夹文件夹名称。 包含现在非法的名称,并且它们不能是符号链接,因此这些文件实际上必须存在于 .git 中,而不能位于工作目录中。

Edward ThomsonMay 提到,Git,VSTS 和大多数其他代码托管服务现在拒绝使用这些子模块配置的存储库来保护尚未更新的 Git 客户端。 Git 2.17.1 和 Windows 的 2.17.1 客户端软件版本已经发布,微软希望开发人员尽快更新。

相关阅读
  • 看看这两个明星的机场照片,网友:没有对比就没有伤害!

    看看这两个明星的机场照片,网友:没有对比就没有伤害!

    2018-02-26

    我们都非常清楚,娱乐圈中的女明星,每一个都是特别漂亮的,根本就没有长得不好看的,就连50多岁的明星,看起来仍然还是美的。今天,小编想要说的就是刘嘉玲和巩俐,看看同样的年龄,到底哪一位明星会更美呢?接下来我们就一起去看一看吧!刘嘉玲,其实今年也是不年轻了,不过出道以来,刘嘉玲的口碑可不是特别好的。娱乐圈...

  • 屁大的国际新闻:乘客因放屁太臭导致航班迫降,被终身禁乘

    屁大的国际新闻:乘客因放屁太臭导致航班迫降,被终身禁乘

    2018-02-27

    放屁能导致什么样的后果?如果有人说,因为放屁,能够导致一架国际航班飞机迫降,你相信吗?别说,世界上还真有这样的事!这件事就发生在不久前,就发生在荷兰的一家航空公司的一架飞机上,当时这个国际航班正从迪拜飞往阿姆斯特丹。当时,飞机上一个男乘客因为不停放臭屁,导致被投诉,但乘务人员对这种情况也感到不知该如...

  • 橘黄色抹胸紧身衣搭配热辣短裤 公园出游好风景

    橘黄色抹胸紧身衣搭配热辣短裤 公园出游好风景

    2018-06-04

    每日分享自己喜欢的穿搭,喜欢就分享和关注吧!客官!!!!!请留步!!!!进来看看呗!!!!!点击下方“阅读原文”查看成人坊!未成年禁止入内喔!...

  • 体育蓬莱:纷扰的世界,不会处处都取悦己心

    体育蓬莱:纷扰的世界,不会处处都取悦己心

    2018-06-06

    体育蓬莱:纷扰的世界,不会处处都取悦己心

  • 2018年第七届成都餐饮供应链展同期冻品直采节,一次参与全年无忧!

    2018年第七届成都餐饮供应链展同期冻品直采节,一次参与全年无忧!

    2018-06-06

    冻品人集合啦!!!对于餐饮业中广大的冻品人们,我们来听听他们的声音:我们是谁?冻品人!我们有没有烦恼?有!要怎么解决?去冻品经销商采购节!2018年第七届成都餐饮供应链展览会设置了餐饮原辅料、餐饮设备、火锅食材及用品、烘焙及咖啡等4大专馆,使用世纪城4、5、6、7号馆,规划展览面积50000平方米,预计参展企业1...

推荐阅读