Amazon Linux 2023: git-lfs (ALAS2023-2025-1258)

high Nessus プラグイン ID 274682

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2025-1258 のアドバイザリに記載されている脆弱性の影響を受けます。

Git LFS は、大きなファイルをバージョン管理するための Git 拡張機能です。Git LFS バージョン 0.5.2 から 3.7.0では、Git リポジトリの作業ツリーに Git LFS オブジェクトのコンテンツを投入するとき、特定の Git LFS コマンドが、 Git LFS によって追跡されるファイルのパス。git lfs checkout および git lfs pull コマンドは、作業ツリーのファイルに書き込む前に、シンボリックリンクをチェックしません。これにより、攻撃者は、Git LFS が任意のファイルシステムロケーションに書き込む、シンボリックまたはハードリンクを含むリポジトリを作成することができます。ユーザーがこれらのコマンドを実行する可能性があります。git lfs checkout および git lfs pull コマンドがベアリポジトリで実行される場合、リポジトリの外から見えるファイルに書き込まれる可能性があります。この脆弱性はバージョンで修正されています 3.7.1。回避策として、core.symlinksの構成オプションをfalseに設定することで、Gitのシンボリックリンクのサポートを無効にすると、それ以上のクローンやフェッチによりシンボリックリンクが作成されなくなります。ただし、既存のリポジトリにあるシンボリックリンクやハードリンクは、Git LFS がターゲットに書き込む機会を提供します。CVE-2025-26625

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。