FreeBSD:git-lfs -- ファイルアクセス前の不適切なリンク解決(107f9dad-b05c-11f1-9369-b42e991fc52e)

high Nessus プラグイン ID 345976

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、107f9dad-b05c-11f1-9369-b42e991fc52e のアドバイザリに記載されている脆弱性の影響を受けます。

https://github.com/git-lfs/git-lfs/security/advisories/GHSA-6pvw-g552-53c5 による報告:

Git LFS は、大きなファイルをバージョン管理するための Git 拡張機能です。0.5.23.7.0までのGit LFSバージョンでは、Gitリポジトリの作業ツリーにGit LFSオブジェクトのコンテンツを入力したとき、Git LFSによって追跡されるファイルのパスと衝突するシンボリックリンクまたはハードリンクが存在する場合、特定のGit LFSコマンドが現在のGit作業ツリーの外側に表示されているファイルに書き込む可能性があります。git lfs checkoutコマンドとgit lfs pullコマンドは、作業ツリー内のファイルに書き込む前にシンボリックリンクをチェックしないため、攻撃者がシンボリックリンクまたはハードリンクを含むリポジトリを細工し、これらのコマンドを実行するユーザーがアクセスできる任意のファイルシステムの場所にGit LFSに書き込ませることが可能です。また、git lfs checkoutおよびgit lfs pullコマンドがベアリポジトリで実行されると、リポジトリの外部で表示されているファイルに書き込まれる可能性があります。この脆弱性はバージョン 3.7.1 で修正されています。回避策として、Gitでのシンボリックリンクのサポートを無効にして、core.symlinks構成オプションをfalseに設定することで、その後、追加のクローンおよびフェッチでシンボリックリンクが作成されなくなります。
ただし、既存のリポジトリ内のシンボリックリンクやハードリンクは、Git LFS がターゲットに書き込む機会を提供します。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。