Microsoft Visual Studio 製品のセキュリティ更新プログラム (2023 年 3 月)

high Nessus プラグイン ID 172528

Language:

概要

Microsoft Visual Studio 製品は、複数の脆弱性の影響を受けます。

説明

Microsoft Visual Studio 製品にセキュリティ更新プログラムがありません。そのため、以下の複数の脆弱性の影響を受けます。

- 特別に細工されたリポジトリを使用すると、バージョン 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7、および 2.30.8 より前の Git は、非ローカルトランスポートを使用している場合でも、ローカルクローンの最適化を使用するよう騙すことができます。
回避策として、--recurse-submodules で信頼できないソースからのリポジトリの複製をしないでください。代わりに、サブモジュールを再帰的に複製せずにリポジトリを複製し、各レイヤーで git submodule update を実行してください。これを行う前に、新しい各 .gitmodules ファイルを検査して、疑わしいモジュールの URL が含まれていないことを確認します。(CVE-2023-22490)

- Git for Windows バージョン 2.39.2 より前は、DLL を慎重に細工し、Git for Windows インストーラーの隣にある特定の名前のサブディレクトリに配置することで、Windows が騙されて DLL をサイドローディングする可能性があります。これにより、ローカルの書き込みアクセス権を持つユーザーが、自動アップグレードによって Git for Windows インストーラーが昇格して実行される可能性がある場所に、悪意のあるペイロードを配置する可能性があります。アップグレードが現実的でない場合は、Git for Windows インストーラーを実行する前に Downloads フォルダーまたはそのサブフォルダーに信頼できないファイルを残さないか、またはインストーラーを実行する前に別のディレクトリに移動してください。
(CVE-2023-22743)

- Git for Windows バージョン 2.39.2 より前は、Windows で gitk を実行すると、現在のディレクトリから実行可能ファイルが意図せず実行される可能性があり、これを悪用して、ソーシャルエンジニアリングでユーザーを騙して、信頼できないコードを実行させる可能性があります。回避策として、信頼できないリポジトリのクローンで gitk (または Git Visualize History 機能) を使用しないでください。(CVE-2023-23618)

- Git は、バージョン 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7、および 2.30.8より前のパストラバーサルに対して脆弱です。細工された入力を git apply にフィードすることで、git apply を実行しているユーザーとして、作業ツリー外のパスが上書きされる可能性があります。回避策として、パッチを適用する前に git apply --stat を使用して検査してください。シンボリックリンクを作成し、その先にファイルを作成するようなものを適用しないでください。(CVE-2023-23946)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

Microsoft はこの問題を解決するために、以下のセキュリティ更新プログラムをリリースしています。
- Visual Studio 2017 用の更新プログラム 15.9.53
- Visual Studio 2019 用の更新プログラム 16.11.25
- Visual Studio 2022 用の更新プログラム 17.0.20
- Visual Studio 2022 用の更新プログラム 17.2.14
- Visual Studio 2022 用の更新プログラム 17.4.6
- Visual Studio 2022 用の更新プログラム 17.5.2