git fast-importの--export-marksオプションがストリーム内のコマンド機能であるexport-marks=...を介して漏えいし、任意のパスの上書きが可能になります。（CVE-2019-1348）サブモジュールが繰り返し複製される場合、特定の状況下においてGitが同じGitディレクトリを2回使用させられる可能性があります。ディレクトリを空にする必要があります。（CVE-2019-1349）コマンドラインの引数を不適切に引用すると、SSH URLと連携した再帰的な複製の間にリモートでコードが実行される可能性がありました。（CVE-2019-1350） Windowsの物理ドライバで許可されているドライブ文字は英語のアルファベットのみですが、この制限は仮想ドライブには適用されません。Gitはそのようなパスを相対パスと誤解したため、複製中にワークツリー外で書き込みを行う可能性がありました。（CVE-2019-13510）GitがNTFS代替データストリームを認識しなかったため、.git/ディレクトリ内のファイルが複製中に上書きされる可能性がありました。（CVE-2019-1352）通常のWindowsドライブの作業ディレクトリにアクセスしながらLinux 用Windowsサブシステム（別名「WSL」）でGitを実行した場合、いずれのNTFS保護も有効化されませんでした。（CVE-2019-1353）Linux/Unixのファイル名ではバックスラッシュを使用できます。Windowsでは、バックスラッシュはディレクトリの区切り文字です。Gitはそのようなファイル名で追跡されるファイルを書き出すことを拒否しませんでした。（CVE-2019-1354）再帰的複製は現在、サブモジュール名の検証が緩すぎることによる脆弱性の影響を受けるため、再帰的複製でのリモートコード実行を介した攻撃の標的となる可能性があります。（CVE-2019-1387）

検出

Amazon Linux AMI：git（ALAS-2019-1325）

critical Nessus プラグイン ID 132026

バージョン 1.5