このセキュリティリリースでは、次の問題を修正します：

  - CVE-2019-1348：高速インポートのストリームコマンド「feature export-marks=path」により、任意のファイルパスへの書き込みが可能になります。libgit2は高速インポート用のインターフェイスを提供していないため、この脆弱性の影響を受けません。

  - CVE-2019-1349：NTFS 8.3の短い名前、バックスラッシュ、または代替ファイルストリームを使用することで、gitを使用した再帰複製の際に、サブモジュールを既存のディレクトリに書き込むことが可能です。libgit2は空でないディレクトリへの複製をデフォルトで拒否するため、この脆弱性の影響を受けません。

  - CVE-2019-1350：コマンドライン引数の不適切な引用により、再帰的なクローンが、任意のリモートコードの実行を引き起こす可能性があります。libgit2はコマンドライン解析を実行する必要のないlibssh2を使用するため、この脆弱性の影響を受けません。

  - CVE-2019-1351：Windowsには、マルチバイトのUnicode文字を含む、任意の文字によるドライブ文字の置換機能があります。このようなパスを相対パスとして解釈することによって生じる問題を修正するため、DOSドライブのプレフィックスの検出を拡張し、このような場合に対応できるようにしました。

  - CVE-2019-1352：「.git」ディレクトリに対してNTFSスタイルの代替ファイルストリームを使用することで、リポジトリの一部を上書きできます。これは過去にWindowsで修正されましたが、NTFSファイルシステムに書き込む他のシステムにも同じ脆弱性が存在する可能性があります。現在は、すべてのシステムで「.git: 」で始まるパスが拒否されます。

  - CVE-2019-1353：NTFSスタイルの8.3ショートネームを使用して「.git」ディレクトリに書き込み、リポジトリの一部を上書きすることが可能でした。このため、リモートコードが実行される可能性がありました。この問題は過去にWindowsで既に修正されていますが、NTFSファイルシステムにアクセスする他のシステムもこの問題に脆弱です。この攻撃ベクトルを修正するため、すべてのシステムでデフォルトでNTFS保護が有効になるようにしました。

  - CVE-2019-1354：Windowsでは、バックスラッシュはファイル名の有効な部分ではなく、ディレクトリセパレーターとして解釈されます。他のプラットフォームではそのようなパスの使用が許可されていたため、このような無効なエントリをGitリポジトリに書き込むことが可能で、「.git」ディレクトリに書き込む攻撃ベクトルとなっていました。現在は、すべてのシステムで「.git」で始まるエントリが拒否されます。

  - CVE-2019-1387：サブモジュールのgitディレクトリが兄弟のサブモジュールディレクトリを指すようにすることができます。このため、Gitリポジトリの一部が上書きされ、任意のコマンドが実行される可能性があります。
    libgit2は、サブモジュールのクローンをネイティブに行う方法を提供していないため、この脆弱性の影響を受けません。再帰サブモジュールのクローンを手動で実装したlibgit2のユーザーは、この脆弱性向けに実装していることを確認してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Fedora 31：libgit2（2019-9c3d054f39）

critical Nessus プラグイン ID 132084

バージョン 1.5