CVE-2020-5260とCVE-2020-11008のセキュリティ修正

CVE-2020-5260 - Upstream [リリースノート]から（https://www.kernel.org/pub/software/scm/git/docs/RelNotes/2.17.
4.txt) ：

> 改行を含む細工されたURLを使用すると、資格情報ヘルパーの機構が欺かれて誤ったホストに資格情報を提供する可能性があります。資格情報 > プロトコルを介して渡されるすべての値に改行文字を禁止することで、攻撃が不可能にされています。

CVE-2020-11008 - Upstream [リリースノート]から（https://www.kernel.org/pub/software/scm/git/docs/RelNotes/2.17.
5.txt）：>改行文字または空のホストを含むか、スキーマがない>細工されたURLを使用することで、認証情報ヘルパー機構がだまされて、使用中のプロトコルおよび接続されているホストに不適切な認証情報を提供する可能性があります。v2.17.4で修正された脆弱性CVE-2020-5260とは異なり、認証情報は攻撃者が選択したホスト用ではありません。代わりに、これらは一部の詳細不明なホスト用です（構成された認証情報ヘルパーが欠如している「host」パラメーターを処理する方法に基づきます）。 >>十分に指定されていない認証情報パターンでの動作を拒否することで、攻撃が不可能になっています。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Fedora 30：git（2020-4e093619bb）

high Nessus プラグイン ID 136211

バージョン 1.3