リモートのWindowsホストにインストールされているAtlassian SourceTreeのバージョンは、3.0.17より前のバージョン0.5aです。したがって、リモートでコードが実行される複数の脆弱性の影響を受けます。

  - オプションインジェクションの脆弱性がgitサブモジュールコンポーネントにあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された.gitmodulesファイルを使用してプロジェクトの再帰的gitクローンを処理することによって、任意のコマンドを実行する可能性があります。
  (CVE-2018-17456)

  - An argument injection vulnerability exists in the Mercurial repository component. An authenticated, remote attacker can exploit this via filenames in the Mercurial repositories to execute arbitrary commands. (CVE-2018-20234, CVE-2018-20235)

  - A command injection vulnerability exists in the URI handling component. An unauthenticated, remote attacker could exploit this via sending a malicious URI to a victim to execution arbitrary commands. (CVE-2018-20236)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Atlassian SourceTree 0.5a < 3.0.17のリモートで複数のコードが実行される脆弱性

critical Nessus プラグイン ID 122854

変更ログが見つかりません