En industri-dækkende sikkerhedsfejl identificeret som CVE-2018-11.235 er blevet opdaget i Git. Sårbarheden kan føre til kørsel af vilkårlig kode, når en bruger udfører operationer i en ondsindet repository.
CVE-2018-11.235 Officiel beskrivelse
I Git før 2.13.7, 2.14.x før 2.14.4, 2.15.x før 2.15.2, 2.16.x før 2.16.4, og 2.17.x før 2.17.1, fjernkørsel af programkode kan forekomme. Med en udformet .gitmodules fil, en ondsindet projekt kan udføre en vilkårlig script på en maskine, der kører “git klon –Rekursive-undermoduler” fordi undermodul “navne” er fremstillet af denne fil, og derefter vedhæftes $ GIT_DIR / moduler, hvilket fører til mappegennemløb med “../” i et navn. Endelig, post-kassen kroge fra en undermodul udføres, udenom den tilsigtede design, hvor kroge ikke er fremstillet af en ekstern server.
Microsoft for nylig rapporteret, at Git 2.17.1 og Git til Windows 2.17.1 (2) blev netop frigivet og omfatter nødvendige rettelse. Visual Studio Team Services (VSTS) team tager sikkerhedsspørgsmål meget alvorligt, og vi opfordrer alle brugere til at opdatere deres Git klienter så hurtigt som muligt for at løse denne svaghed, Microsoft sagde.
Microsoft har blokeret disse typer af ondsindede depoter fra at blive skubbet til VSTS. Denne handling er med til at sikre, at VSTS ikke kan udnyttes som vektor til overførsel af skadelige depoter til sårbare systemer stadig tilbøjelige til CVE-2018-11.235.
Brugere, der kører Git til Windows bør straks Download den nyeste version 2.17.1 (2).
Desuden, Visual Studio 2017 er også ved at blive lappet og et hotfix vil snart være tilgængelige, Microsoft lovede.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: