CVE-2015-8968

Wysokie

Opublikowano: 03/11/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Podatność CVE-2015-8968 w git-fastclone przed wersją 1.0.1 pozwala na wykonanie dowolnych poleceń powłoki z pliku .gitmodules. Atakujący może skłonić użytkownika do uruchomienia rekurencyjnego klonowania z repozytorium, które kontroluje, co umożliwia wykonanie złośliwego kodu.

Ocena ryzyka

Organizacja może być narażona na wykonanie nieautoryzowanych poleceń, co może prowadzić do kompromitacji systemów i danych. Atak może być przeprowadzony zarówno na lokalnych, jak i zdalnych repozytoriach.

Rekomendacja

Zaleca się aktualizację git-fastclone do wersji 1.0.1 lub nowszej oraz unikanie klonowania repozytoriów z niezaufanych źródeł. Dodatkowo, warto wdrożyć zabezpieczenia przed atakami typu MITM.

Inne podatności w git-fastclone

CVE-2015-8969Krytyczne
git-fastclone w wersjach przed 1.0.5 przekazuje modyfikowalne przez użytkownika ciągi bezpośrednio do polecenia powłoki. Atakujący może wykonać złośliwe polecenia, modyfikując ciągi przekazywane jako argumenty do poleceń 'cd ' i 'git clone '.

Oryginalny opis (angielski, źródło NVD)

git-fastclone before 1.0.1 permits arbitrary shell command execution from .gitmodules. If an attacker can instruct a user to run a recursive clone from a repository they control, they can get a client to run an arbitrary shell command. Alternately, if an attacker can MITM an unencrypted git clone, they could exploit this. The ext command will be run if the repository is recursively cloned or if submodules are updated. This attack works when cloning both local and remote repositories.