gitに関しての脆弱性情報 ( Important: CVE-2018-19486 )

2018.11.24

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

11/22/2018に、gitに関しての脆弱性情報 (Important: CVE-2018-19486 )と更新バージョン (Git 2.19.2)が出ています。今回は、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

Priority

  • CVE-2018-19486

    Important

    • SuSE
      • CVSS v3 Base Score: 4.8
      • Vector: AV:L/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 7.5
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
    • NVD

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2018-19486
    • カレントディレクトリからのコマンド実行の可能性
    • 重要度 – Moderate
    • gitのcommit e3a434468f(run-command: 2017-04-19 execvpの代わりにasync-signal-safe execvを使う)以降では、prepare_cmd()が自身のPATH検索を任意のコマンドに対して行っていました。しかしながら、古いexecvpがPATHにマッチするエントリを見つけられなかった際の処理に論理的な問題があり、execvpではENOENTエラーだとされていた所がexecvではそうならなかったため、PATHの最後に”.”が含まれるまでディレクトリ名を渡し続けていました。これにより、run-command()APIとrun-command.cを含む特定のケースでは、カレントディレクトリからコマンドが実行される可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

セキュリティ系連載案内

タイトルとURLをコピーしました