Git社区 披露 了一个影响clone和submodule命令的安全漏洞，当存在漏洞的机器访问恶意库时，这些命令可以远程执行代码。这个由Mitre分配了编号 CVE-2018-17456 的漏洞已 在Git 2.19.1中修复 。
要触发该漏洞，恶意库可以伪造一个.gitmodules，其中包含以破折号开头的URL。这将影响git clone --recurse-submodules和git submodule update --recursive，因为它们会将这个以破折号开头的URL递归地传递给git clone或git submodule子进程，它们会将该URL解释为命令选项。这可能导致在本地机器上执行任意命令。这个漏洞类似于 CVE-2017-1000117 ，它也是通过伪造以破折号开头的ssh URL实现选项注入攻击，由git执行的ssh子进程会将这些URL解释为命令选项。目前还没有任何已知的不法行为。
我们还利用这段时间扫描了GitHub上所有的库，寻找它实际被用于实施攻击的证据。我们很高兴地告诉大家，没有发现攻击实例（现在，在我们的检测下，就没有实例可以添加了）。
正如 @joernchen 提交的 修复漏洞的PR 所显示的那样，修复本身非常简单。不过，这一发现为.gitmodules的全面审计提供了机会，它会 针对其中的路径和URL实现更严格的检查 。
如前所述，Git 2.19.1包含了对这个漏洞的修复。另外，该补丁还被反向移植到了2.14.5、2.15.3、2.16.5、2.17.2和2.18.1版本。由于git集成到了GitHub项目（如GitHub Desktop和Atom）中，这些项目也已经得到了修复，所以你最好尽快升级它们。
以上所述就是小编给大家介绍的《Git Submodule新漏洞已修复》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
猜你喜欢:
- struts2架构网站漏洞修复详情与利用漏洞修复方案
- 如何做好漏洞管理的漏洞修复工作
- phpcms网站漏洞修复之远程代码写入缓存漏洞利用
- 系统漏洞及修复汇总
- 中间件漏洞及修复汇总
- WEB应用漏洞及修复汇总
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
网络多人游戏架构与编程
格雷泽 (Joshua Glazer)、马达夫 (Sanjay Madhav) / 王晓慧、张国鑫 / 人民邮电出版社 / 2017-10-1 / CNY 109.00
本书是一本深入探讨关于网络多人游戏编程的图书。 全书分为13章，从网络游戏的基本概念、互联网、伯克利套接字、对象序列化、对象复制、网络拓扑和游戏案例、延迟、抖动和可靠性、改进的延迟处理、可扩展性、安全性、真实世界的引擎、玩家服务、云托管专用服务器等方面深入介绍了网络多人游戏开发的知识，既全面又详尽地剖析了众多核心概念。 本书的多数示例基于C++编写，适合对C++有一定了解的读者阅读。本......一起来看看 《网络多人游戏架构与编程》 这本书的介绍吧!
