CentOS Linux 7ホストには、TuxCare CENTOS7:CLSA-2024:1712672592アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 2.30.1 より前のGitのconnect.cにあるgit_connect_gitにより、リポジトリパスに改行文字が含まれることが許可され、git://localhost:1234/%0d%0a%0d%0aGET%20/%20HTTP/1.1 サブストリングで示されているように、予期しないクロスプロトコルリクエストが発生する可能性があります。(CVE-2021-40330)

  - Git は、オープンソースでスケーラブルな分散型リビジョン管理システムです。「git shell」は、SSH 経由で Git のプッシュ/プル機能を実装するために使用できる制限付きログインシェルです。2.30.6、2.31.5、2.32.4、2.33.5、2.34.5、2.35.5、2.36.3、および 2.37.4より前のバージョンでは、コマンド引数を配列に分割する関数が、「int」を不適切に使用して悪意のある攻撃者が意図的に戻り値をオーバーフローさせ、任意のヒープ書き込みを引き起こす可能性があります。その後、結果の配列が「execv()」に渡されるため、この攻撃を利用して、被害者のマシンでリモートコードを実行することが可能です。注意: この攻撃に対して脆弱であるためには、被害者はまずログインシェルとして「git shell」へのアクセスを許可する必要があります。この問題はバージョン 2.30.6、2.31.5、2.32.4、2.33.5、2.34.5、2.35.5、2.36.3、および 2.37.4でパッチが適用されています。ユーザーには最新バージョンにアップグレードすることを推奨します。
    実行可能な短期的な回避策は、リモートログインを使用して「git shell」アクセスを無効にすることです。(CVE-2022-39260)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

CentOS Linux 7 [TuxCare] セキュリティ更新プログラム:emacs-git/emacs-git-el/git/git-all/git-bzr/git-cvs/etc 複数の脆弱性(CENTOS7:CLSA-2024:1712672592)

high Nessus プラグイン ID 353137

変更ログが見つかりません