git コマンドにおけるディレクトリトラバーサルにより遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.07.16(火)

git コマンドにおけるディレクトリトラバーサルにより遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

git コマンドに値検証不備に起因する遠隔コード実行の脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

git コマンドに値検証不備に起因する遠隔コード実行の脆弱性が報告されています。攻撃者が作成した悪意のあるレポジトリに対して git コマンドを実行した際に、任意のコードが実行されてしまう可能性があります。アップデート
により対策してください。

◆分析者コメント

クライアントの動作が必要となる脆弱性であり、あまり対策が及ばないと考えられる脆弱性ですが、ソフトウェアによっては暗黙的に使われている可能性が高いコマンドであると考えられます。日頃 git コマンドが参照しているリポジトリが汚染されてしまった場合は、被害を受けてしまう可能性があるため、アップデートにより対策することを推奨します。

◆深刻度(CVSS)

本記事執筆時点 (2018 年 6 月 7 日) で CVSS 値の情報公開を確認していません。

◆影響を受けるソフトウェア

以下のバージョンの git コマンドが影響を受けると報告されています。

  ・GIT 2.17
  ・GIT 2.16.3
  ・GIT 2.16
  ・GIT 2.15.1
  ・GIT 2.15
  ・GIT 2.14.3
  ・GIT 2.14.2
  ・GIT 2.14.1
  ・GIT 2.14
  ・GIT 2.13.6
  ・GIT 2.13.5
  ・GIT 2.13.4
  ・GIT 2.13.3
  ・GIT 2.13.2
  ・GIT 2.13.1
  ・GIT 2.13

◆解説

git コマンドに、ディレクトリトラバーサルにより遠隔から任意のコマンドが実行可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

PageTop

特集

アクセスランキング

  1. 華為のウェブに■■■■の脆弱性、■■■■の顧客情報や■■■■にリスクが及んだ可能性、■■■■を修復済(The Register)

    華為のウェブに■■■■の脆弱性、■■■■の顧客情報や■■■■にリスクが及んだ可能性、■■■■を修復済(The Register)

  2. 仮想通貨不正流出判明、被害額概算約35億円(リミックスポイント、ビットポイントジャパン)

    仮想通貨不正流出判明、被害額概算約35億円(リミックスポイント、ビットポイントジャパン)

  3. 「カテエネ」へパスワードリスト型攻撃、個人情報最大234件閲覧可能状態に(中部電力)

    「カテエネ」へパスワードリスト型攻撃、個人情報最大234件閲覧可能状態に(中部電力)

  4. 複数の高度な機能を持つランサムウェア「Sodin」、アジアを中心に拡大(カスペルスキー)

    複数の高度な機能を持つランサムウェア「Sodin」、アジアを中心に拡大(カスペルスキー)

  5. Windowsの複数のDNS関連機能に脆弱性(JPRS)

    Windowsの複数のDNS関連機能に脆弱性(JPRS)

  6. キャッシュDNSサーバ「Knot Resolver」に複数の脆弱性(JPRS)

    キャッシュDNSサーバ「Knot Resolver」に複数の脆弱性(JPRS)

  7. グローバルIPを割り振るモバイルルータなどによる感染事例が国内で増加(Secureworks)

    グローバルIPを割り振るモバイルルータなどによる感染事例が国内で増加(Secureworks)

  8. 犯罪者に身代金支払い顧客へマージン上乗せ ~ 英データ復旧サービス大繁盛(The Register)

    犯罪者に身代金支払い顧客へマージン上乗せ ~ 英データ復旧サービス大繁盛(The Register)

  9. 「ご登録パスワード変更完了のお知らせ」、ウェブマネーを騙るメール確認(フィッシング対策協議会)

    「ご登録パスワード変更完了のお知らせ」、ウェブマネーを騙るメール確認(フィッシング対策協議会)

  10. 無料セキュリティ調査ツールがメモリ領域にも対応(ラック)

    無料セキュリティ調査ツールがメモリ領域にも対応(ラック)

ランキングをもっと見る