Amazon Linux 2：git（ALAS-2019-1371）
critical Nessus プラグイン ID 132259
Language:
概要
リモートのAmazon Linux 2ホストに、セキュリティ更新プログラムがありません。説明
Gitは一部のパスを相対パスと誤解したため、複製中にワークツリー外で書き込みを行う可能性がありました（CVE-2019-1351）Linux用WindowsサブシステムでGitを実行する際にNTFS保護が非アクティブになります（CVE-2019-1353）
ネストされたサブモジュールを使用した再帰的クローンでのリモートコード実行（CVE-2019-1387）
エクスポートマークインストリームコマンドオプションによる任意のパスの上書き（CVE-2019-1348）
.gitディレクトリ内のファイルが、NTFS Alternate Data Streamsによる複製中に上書きされる可能性があります（CVE-2019-1352）
再帰サブモジュールの複製により、.git/で記述された同義のディレクトリ名でgitディレクトリを2回使用する可能性があります（CVE-2019-1349）
コマンドラインの引数を不適切に引用すると、再帰的な複製の間にリモートでコードが実行される可能性がありました（CVE-2019-1350）
Gitは、ファイル名にバックスラッシュがある追跡対象ファイルの書き込みを拒否しません（CVE-2019-1354）
再帰的なクローンとそれに続くサブモジュールの更新は、ユーザーによる明示的な同意なく、リポジトリ内に含まれるコードを実行する可能性がありました。「gitのサブモジュールの更新」操作で悪質なリポジトリの.gitmodulesファイルで見つかったコマンドを実行できるため、2.20.2前、2.21.1前の2.21.x、2.22.2前の2.22.x、2.23.1前の2.23.x、2.24.1前の2.24.xのGitでは任意のコマンド実行が可能です。（CVE-2019-19604）
ソリューション
「yum update git」を実行してシステムを更新してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 132259
ファイル名: al2_ALAS-2019-1371.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
公開日: 2019/12/19
更新日: 2024/4/3
サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: High
基本値: 9.3
現状値: 7.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2019-19604
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2019-1353
脆弱性情報
CPE: p-cpe:/a:amazon:linux:perl-git-svn, cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:git, p-cpe:/a:amazon:linux:git-all, p-cpe:/a:amazon:linux:git-core, p-cpe:/a:amazon:linux:git-core-doc, p-cpe:/a:amazon:linux:git-cvs, p-cpe:/a:amazon:linux:git-daemon, p-cpe:/a:amazon:linux:git-debuginfo, p-cpe:/a:amazon:linux:git-email, p-cpe:/a:amazon:linux:git-gui, p-cpe:/a:amazon:linux:git-instaweb, p-cpe:/a:amazon:linux:git-p4, p-cpe:/a:amazon:linux:git-subtree, p-cpe:/a:amazon:linux:git-svn, p-cpe:/a:amazon:linux:gitk, p-cpe:/a:amazon:linux:gitweb, p-cpe:/a:amazon:linux:perl-git
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2019/12/13
脆弱性公開日: 2019/12/11
参照情報
CVE: CVE-2019-1348, CVE-2019-1349, CVE-2019-1350, CVE-2019-1351, CVE-2019-1352, CVE-2019-1353, CVE-2019-1354, CVE-2019-1387, CVE-2019-19604
ALAS: 2019-1371