BT

Ready for InfoQ 3.0? Try the new design and let us know what you think!

Gitの脆弱性により任意のコードが実行できる

| 作者: Sergio De Simone フォローする 21 人のフォロワー , 翻訳者 編集部T _ フォローする 0 人のフォロワー 投稿日 2018年6月7日. 推定読書時間: 2 分 |

原文(投稿日:2018/06/03)へのリンク

読者の皆様へ:ノイズを減らすための一連の機能を開発しました。関心のあるトピックについて電子メールとWeb通知を受け取ることができます新機能の詳細をご覧ください。

Gitサブモジュール名の検証に対する脆弱性により、リモートの攻撃者が開発者マシン上で任意のコードを実行できる。さらに、攻撃者はシステムメモリの一部にアクセスできる。どちらの脆弱性もすでにGit 2.17.1、2.16.4、2.15.2、および他のバージョンでパッチが適用されている

セキュリティ研究者のEtienne Stalmans氏によって報告されたように、Gitのパッチが適用されていないバージョンはサブモジュール名を検証しない。そのため、次の通りである。

リモートリポジトリは、リポジトリのクローン作成時に、ターゲットユーザのシステム上のファイルを作成または上書きするために特別に細工されたデータを返すことができます。その結果、ターゲットユーザのシステム上で任意のコードが実行できるようになります。

具体的には、Gitは$GIT_DIR/modulesディレクトリ内のサブモジュールを、$GIT_DIR/.gitmodulesで定義された名前のディレクトリの下にミラーする。.gitmodulesファイルの内容を巧妙に作り上げることにで、../をサブモジュール名に埋め込み、Gitレポジトリの外側にサブモジュールを書き込むように指示することが可能である。悪質なポストチェックアウトフックと組み合わせることで、レポジトリを複製した直後に悪質なコードを実行することが可能になる。

この振る舞いの修正では、サブモジュール名のいくつかのルールを強制している。これにより、準拠していない名前はGitによって無視されるようになる。基本的に..を許可せず、シンボリックリンクも認めない。これにより、確実に、サブモジュールディレクトリが$GIT_DIRの外部に格納されないようにする。

Stalmans氏は、この脆弱性を悪用したGitHub Pagesでリモートコードを実行できると述べたが、攻撃が出回っていることは報告されていない。

修正された脆弱性の2つ目は、NTFSファイルシステムを使用するレポジトリに特有の脆弱性であり、攻撃者がランダムなメモリ内容を読み取れるようにNTFSパスの健全性チェックを欺くことができる。

Gitコミュニティは、Git 2.13.7の両脆弱性に対する修正を速やかに提供している。その修正は、Git 2.14.4、2.15.2、2.16.4、2.17.1にも適用されている。さらに、追加のセキュリティレベルとして、これらのリリースでは、問題のある.gitmodulesファイルを含むリポジトリへのpushesを拒否する。これは、次のことを意味する。

ホスティングサイトが悪意のあるコンテンツの拡散を防ぐことで、古いクライアントを使っている顧客を保護します。

GitHubやその他のコードホスティングサービスはすでにシステムにパッチ適用済みである。

 
 

Rate this Article

Adoption Stage
Style
 
 

この記事に星をつける

おすすめ度
スタイル

こんにちは

コメントするには InfoQアカウントの登録 または が必要です。InfoQ に登録するとさまざまなことができます。

アカウント登録をしてInfoQをお楽しみください。

あなたの意見をお聞かせください。

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

このスレッドのメッセージについてEmailでリプライする
コミュニティコメント

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

このスレッドのメッセージについてEmailでリプライする

HTML: a,b,br,blockquote,i,li,pre,u,ul,p

このスレッドのメッセージについてEmailでリプライする

ディスカッション
BT