Amazon Linux AMI：git (ALAS-2019-1325)
critical Nessus 插件 ID 132026
语言：
简介
远程 Amazon Linux AMI 主机缺少安全更新。描述
git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，并且允许覆写任意路径。(CVE-2019-1348) 当子模块受到递归克隆时，在特定条件下 Git 可能会受到欺骗造成两次使用同一个 Git 目录。我们现已要求目录必须为空。(CVE-2019-1349) 未正确引用命令行参数，在结合 SSH URL 进行递归克隆的过程中可能会造成远程代码执行。(CVE-2019-1350) 尽管 Windows 物理驱动器中唯一允许的盘符是英语字母，但此限制未应用于虚拟驱动器。Git 会将此类路径误认为相对路径，从而允许克隆过程中在 worktree 以外写入。(CVE-2019-13510) Git 未意识到 NTFS 替代数据流，从而允许克隆过程中覆写 .git/ 目录内的文件。(CVE-2019-1352) 当 Windows Subsystem for Linux（又称为“WSL”）上运行 Git 时，在常规的 Windows 驱动器上访问工作目录不会激活任何 NTFS 保护。(CVE-2019-1353) Linux/Unix 中的文件名可包含反斜线。在 Windows 中，反斜线是目录分隔符。Git 未用于拒绝写出带有此类文件名的跟踪文件。(CVE-2019-1354) 由于对子模块名称的验证过于宽松，造成目前递归克隆会受到一个漏洞的影响，使得能够通过递归克隆中的远程代码执行发动非常有针对性的攻击。(CVE-2019-1387)解决方案
运行 'yum update git' 以更新系统。另见
插件详情
严重性: Critical
ID: 132026
文件名: ala_ALAS-2019-1325.nasl
版本: 1.6
类型: local
代理: unix
发布时间: 2019/12/13
最近更新时间: 2024/4/4
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 9.3
时间分数: 6.9
矢量: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2019-1354
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2019-1353
漏洞信息
CPE: p-cpe:/a:amazon:linux:emacs-git, p-cpe:/a:amazon:linux:emacs-git-el, p-cpe:/a:amazon:linux:git, p-cpe:/a:amazon:linux:git-all, p-cpe:/a:amazon:linux:git-bzr, p-cpe:/a:amazon:linux:git-cvs, p-cpe:/a:amazon:linux:git-daemon, p-cpe:/a:amazon:linux:git-debuginfo, p-cpe:/a:amazon:linux:git-email, p-cpe:/a:amazon:linux:git-hg, p-cpe:/a:amazon:linux:git-p4, p-cpe:/a:amazon:linux:git-svn, p-cpe:/a:amazon:linux:gitweb, p-cpe:/a:amazon:linux:perl-git, p-cpe:/a:amazon:linux:perl-git-svn, cpe:/o:amazon:linux
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2019/12/9
漏洞发布日期: 2019/12/18
参考资料信息
CVE: CVE-2019-1348, CVE-2019-1349, CVE-2019-1350, CVE-2019-1351, CVE-2019-1352, CVE-2019-1353, CVE-2019-1354, CVE-2019-1387
ALAS: 2019-1325