近日，Git官方揭露了漏洞CVE-2018-17456，当用户clone恶意库时，可能造成任意命令执行，攻击者可结合钓鱼等社会工程手段，来实现对目标主机的控制。官方建议所有用户将客户端升级以实现对此漏洞的防护。此漏洞与CVE-2017-1000117非常类似，都是与子模块相关的命令选项注入攻击。此漏洞允许.gitModule文件中的url参数以破折号“—”开头，在执行“git clone”操作时，进程将此url解析为选项，从而导致任意命令执行。
影响范围
受影响的版本：
- Git 2.14.*< 2.14.5
- Git 2.15.*< 2.15.3
- Git 2.16.*< 2.16.5
- Git 2.17.*< 2.17.2
- Git 2.18.*< 2.18.1
不受影响版本：
- Git 2.19.1
- Git 2.18.1
- Git 2.17.2
- Git 2.16.5
- Git 2.15.3
- Git 2.14.5
内置Git的相关软件也可能受此漏洞影响，详情如下：
| 受影响版本 | 不受影响版本 | |
| GitHub Desktop | GitHub Desktop <=1.4.1 | GitHub Desktop 1.4.2
GitHub Desktop 1.4.3-beta0 |
| Atom | Atom <1.31.2
Atom <1.32.0-beta3 |
Atom 1.31.2
Atom 1.32.0-beta3 |
影响排查
版本检查
用户可使用如下命令查看所使用的Git版本，并参考本文第二章“影响范围”来判断是否在受影响范围内。
| git –version |
漏洞防护
Git官方已经发布了新版本修复了上述漏洞，请受影响的用户尽快下载更新进行防护，在升级完成之前，用户应尽量避免clone不受信任的库来保护自身系统安全。
升级下载链接如下：
Windows：
https://git-scm.com/download/win
Mac OS X：
https://git-scm.com/download/mac
Linux：
以Window为例，可使用上述地址直接下载最新版本，进行覆盖安装，完成更新。或直接使用以下命令进行版本更新。
| git update-git-for-windows |
由于GitHub Desktop和Atom内嵌了旧版本Gitlab，因此也受到该漏洞影响，官方已经发布了新版本修复该漏洞，请受影响用户及时进行进行升级。
| 受影响软件 | 下载链接 |
| GitHub Desktop | Windows: https://central.github.com/deployments/desktop/desktop/latest/win32?format=msi |
| macOS: https://central.github.com/deployments/desktop/desktop/latest/darwin | |
| Atom | https://github.com/atom/atom/releases/tag/v1.31.2 |
| https://github.com/atom/atom/releases/tag/v1.32.0-beta3 |
参考链接
https://blog.github.com/2018-10-05-git-submodule-vulnerability/
声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。
绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于绿盟科技
北京神州绿盟信息安全科技股份有限公司（简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，绿盟科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
北京神州绿盟信息安全科技股份有限公司于2014年1月29日起在深圳证券交易所创业板上市交易，股票简称：绿盟科技，股票代码：300369。