Git远程命令执行漏洞CVE-2018-17456 处置手册

近日,Git官方揭露了漏洞CVE-2018-17456,当用户clone恶意库时,可能造成任意命令执行,攻击者可结合钓鱼等社会工程手段,来实现对目标主机的控制。官方建议所有用户将客户端升级以实现对此漏洞的防护。此漏洞与CVE-2017-1000117非常类似,都是与子模块相关的命令选项注入攻击。此漏洞允许.gitModule文件中的url参数以破折号“—”开头,在执行“git clone”操作时,进程将此url解析为选项,从而导致任意命令执行。

【漏洞分析】当git遇上ssh——CVE-2017-1000117漏洞浅析

Git是一个开源的分布式版本控制系统,主要用于项目管理。

而SSH是一种应用层的安全通信协议,最常用的就是为通信双方在在不安全网络上提供安全的远程登录。

当他们二者相遇会发生什么有趣的事呢?这里以CVE-2017-1000117漏洞为例,简要剖析该漏洞的成因及防护方法。