Git における値検証不備を悪用して任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.09.17(火)

Git における値検証不備を悪用して任意のコードが実行可能となる脆弱性(Scan Tech Report)

Metasploit 用のエクスプロイトコードの他に、多数の検証用コードが GitHub 上に公開されています。クローンすることにより、テスト用のコードの実行を試みるものですが、悪意のあるレポジトリが存在する可能性があるため注意が必要です。

脆弱性と脅威 エクスプロイト
◆概要

Git に、値検証不備に起因する遠隔コード実行の脆弱性が報告されています。攻撃者が作成した悪意のあるレポジトリに対して git コマンドを実行した際に、任意のコードが実行されてしまう可能性があります。アップデートにより対策してください。

◆分析者コメント

脆弱性を悪用するためには、攻撃者が作成した悪意のあるレポジトリに Git の利用者を誘導するか、他人のレポジトリを乗っ取り gitmodule を改ざんするという流れが考えられます。クライアントサイドの脆弱性であるため、どのように対象端末に一連の動作の実行を誘導できるかが攻撃成立の要点となりますが、利用者が多いレポジトリが不正アクセスされてしまった場合は、当該脆弱性により悪意のあるコードを実行され、レポジトリの利用者がマルウェア等に感染させられてしまう可能性が考えられます。

《株式会社ラック サイバー・グリッド研究所》

関連記事

PageTop

特集

アクセスランキング

  1. 高額なコンサル不要 !? ~ ISOG-J 公開三つの無料ドキュメント活用方法

    高額なコンサル不要 !? ~ ISOG-J 公開三つの無料ドキュメント活用方法

  2. 「OpenSSL」アップデート、情報漏えいなどの脆弱性に対応(JVN)

    「OpenSSL」アップデート、情報漏えいなどの脆弱性に対応(JVN)

  3. OTネットワークを可視化しセキュリティリスクを監視(NRIセキュア)

    OTネットワークを可視化しセキュリティリスクを監視(NRIセキュア)

  4. 「マグちゃんオンラインショップ」に不正アクセス、最大2,905件のカード情報が流出の可能性(宮本製作所)

    「マグちゃんオンラインショップ」に不正アクセス、最大2,905件のカード情報が流出の可能性(宮本製作所)

  5. LINEの「apng-drawable」に任意コード実行などの脆弱性(JVN)

    LINEの「apng-drawable」に任意コード実行などの脆弱性(JVN)

  6. 「CODE BLUE」全25セッションの講演者が決定(CODE BLUE実行委員会)

    「CODE BLUE」全25セッションの講演者が決定(CODE BLUE実行委員会)

  7. 「なんとかデータベース」へ不正アクセス、会員情報169,843件が流出の可能性(スープレックス)

    「なんとかデータベース」へ不正アクセス、会員情報169,843件が流出の可能性(スープレックス)

  8. 「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

    「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

  9. 県立高校で保護者への台風15号に関する通知メールを誤送信(埼玉県)

    県立高校で保護者への台風15号に関する通知メールを誤送信(埼玉県)

  10. 業務用ノートパソコン1台を遺失、遠隔操作でパスワードを複雑化(ゼットン)

    業務用ノートパソコン1台を遺失、遠隔操作でパスワードを複雑化(ゼットン)

ランキングをもっと見る