Amazon Linux 2023: git-lfs (ALAS2023-2025-851)

high Nessus プラグイン ID 216830

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-851 のアドバイザリに記載されている脆弱性の影響を受けます。

Git LFS は、大きなファイルをバージョン管理するための Git 拡張機能です。Git LFS は、リモートホストに対して Git からの認証情報をリクエストするとき、埋め込まれた改行制御文字をチェックせずにホストの URL の一部を「git-credential(1)」コマンドに渡し、Git 認証情報ヘルパーから受け取った認証情報をリモートホストに送信します。ラインフィード (LF) やキャリッジリターン (CR) 文字などの URL エンコードされた制御文字を URL に挿入することで、攻撃者は、ユーザーの Git 認証情報を取得できる場合があります。この問題は以前のすべてのバージョンに存在し、v3.6.1 でパッチが当てられています。すべてのユーザーは、v3.6.1 にアップグレードする必要があります。現時点では、既知の回避策はありません。(CVE-2024-53263)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。