聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
前两个漏洞（位于提交格式化机制中的CVE-2022-41903和位于.gitattributes 解析器中的CVE-2022-23521）已在周三修复。第三个漏洞CVE-2022-41953还在等待补丁，不过用户可采取不使用 Git GUI软件克隆仓库或避免从不受信任的来源克隆的方式解决。
X41公司和GitLab的安全专家在由OSTIF赞数的一次Git源代码审计过程中发现了这些漏洞。X41的研究人员表示，“最严重的漏洞可导致攻击者在克隆或拉取操作过程中触发基于堆的内存损坏，可能导致代码执行后果。另外一个严重漏洞可导致在归档操作过程中执行代码，而这通常通过Git 伪造完成。另外，还发现大量和整数相关的问题，可导致拒绝服务、界外读或对大量输入的极端情况处理不当的后果。”
包 |
受影响版本 |
修复版本 |
git-for-windows |
<=2.39.0(2) |
>=2.39.1 |
git |
<= v2.30.6、 v2.31.5、 v2.32.4、 v2.33.5、 v2.34.5、 v2.35.5、 v2.36.3、 v2.37.4、 v2.38.2、 v2.39.0 |
>= v2.30.7、 v2.31.6、 v2.32.5、 v2.33.6、 v2.34.6、 v2.35.6、 v2.36.4、 v2.37.5、 v2.38.3、 v2.39.1 |
在所有情况下，防御利用这些漏洞的最有效方式是升级到Git最新版本 (v2.39.1)。
无法立即升级修复CVE-2022-41903的用户也可采取如下措施，确保攻击者无法滥用易受攻击的Git功能：
禁用不受信任仓库中的 “git archive” 或者避免在不受信任仓库上运行命令。
如 “git archive” 通过 “git daemon” 暴露，则在运行'git config --global daemon.uploadArch false'命令，一起禁用它以及不受信任的仓库。
GitLab 提醒称，“我们强烈建议运行受这些漏洞影响的所有应用程序尽快升级至最新版本。”
https://www.bleepingcomputer.com/news/security/git-patches-two-critical-remote-code-execution-security-flaws/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~