スケーラブルな高速分散バージョン管理システムgitで複数の脆弱性が発見されました。

CVE-2019-1348

git fast-importの--export-marksオプションが、インストリームコマンド機能のexport-marks=...を通じても漏洩し、任意のパスを上書きできるようになることが報告されました。

CVE-2019-1387

サブモジュール名の検証が不十分であるため、再帰的な複製作成を実行する際に、リモートコード実行を介して標的を絞った攻撃が実行される可能性があることが発見されました。

さらにこの更新では、gitがNTFSファイルシステム（CVE-2019-1349、 CVE-2019-1352 および CVE-2019-1353）上で動作している場合のみ問題となる多数のセキュリティ問題に対処しています。

Debian 8「Jessie」では、これらの問題はバージョン1:2.1.4-2.1+deb8u8で修正されました。

お使いのgitパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このgitの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2019-1349：サブモジュールが再帰的に複製される場合に、特定の状況下でGitが同じGitディレクトリを2回使用するようにだまされる可能性のあるWindows上の問題を修正しました（bsc#1158787）。

  - CVE-2019-19604：ユーザーが明示的に要求していないにもかかわらず、リポジトリ内に含まれるコードを実行する可能性のある再帰的な複製とその後のサブモジュールの更新を修正しました（bsc#1158795）。

  - CVE-2019-1387：サブモジュール名の検証が緩すぎることによる脆弱性の影響を受けており、リモートコード実行を介した攻撃の標的になる可能性のある再帰的な複製を修正しました（bsc#1158793）。

  - CVE-2019-1354：ファイル名にバックスラッシュを含む追跡対象ファイルの書き込みを拒否するWindows上の問題を修正しました（bsc#1158792）。

  - CVE-2019-1353：正規のWindowsドライブ上の作業ディレクトリにアクセスする際にLinux用Windowsサブシステムで実行したときに、NTFS保護がどれもアクティブにならない問題を修正しました（bsc#1158791）。

  - CVE-2019-1352：NTFS Alternate Data Streamsが認識されないWindows上の問題を修正しました（bsc#1158790）。

  - CVE-2019-1351：相対パスとしての米国英語のアルファベット以外のドライブ文字が間違っているWindows上の問題を修正しました（bsc#1158789）。

  - CVE-2019-1350：SSH URLと連結した再帰的な複製中のリモートコード実行につながる可能性のあるコマンドライン引数の間違った引用を修正しました（bsc#1158788）。

  - CVE-2019-1348：インストリームコマンド機能のexport-marks=...を介しても漏洩し、任意のパスの上書きを可能にする高速インポートの--export-marksオプションを修正しました（bsc#1158785）。

  - git send-emailがSMTPサーバーでの認証に失敗する問題を修正します（bsc#1082023）

バグ修正：

  - openssl-develによって提供されていたzlib依存関係を追加します。これにより、opensslの1.1.1へのアップグレード後にパッケージが正常にコンパイルできるようになります 。（bsc#1149792）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

git fast-importの--export-marksオプションがストリーム内のコマンド機能であるexport-marks=...を介して漏えいし、任意のパスの上書きが可能になります。（CVE-2019-1348）サブモジュールが繰り返し複製される場合、特定の状況下においてGitが同じGitディレクトリを2回使用させられる可能性があります。ディレクトリを空にする必要があります。（CVE-2019-1349）コマンドラインの引数を不適切に引用すると、SSH URLと連携した再帰的な複製の間にリモートでコードが実行される可能性がありました。（CVE-2019-1350） Windowsの物理ドライバで許可されているドライブ文字は英語のアルファベットのみですが、この制限は仮想ドライブには適用されません。Gitはそのようなパスを相対パスと誤解したため、複製中にワークツリー外で書き込みを行う可能性がありました。（CVE-2019-13510）GitがNTFS代替データストリームを認識しなかったため、.git/ディレクトリ内のファイルが複製中に上書きされる可能性がありました。（CVE-2019-1352）通常のWindowsドライブの作業ディレクトリにアクセスしながらLinux 用Windowsサブシステム（別名「WSL」）でGitを実行した場合、いずれのNTFS保護も有効化されませんでした。（CVE-2019-1353）Linux/Unixのファイル名ではバックスラッシュを使用できます。Windowsでは、バックスラッシュはディレクトリの区切り文字です。Gitはそのようなファイル名で追跡されるファイルを書き出すことを拒否しませんでした。（CVE-2019-1354）再帰的複製は現在、サブモジュール名の検証が緩すぎることによる脆弱性の影響を受けるため、再帰的複製でのリモートコード実行を介した攻撃の標的となる可能性があります。（CVE-2019-1387）

Gitは一部のパスを相対パスと誤解したため、複製中にワークツリー外で書き込みを行う可能性がありました（CVE-2019-1351）

Linux用WindowsサブシステムでGitを実行する際にNTFS保護が非アクティブになります（CVE-2019-1353）

ネストされたサブモジュールを使用した再帰的クローンでのリモートコード実行（CVE-2019-1387）

エクスポートマークインストリームコマンドオプションによる任意のパスの上書き（CVE-2019-1348）

.gitディレクトリ内のファイルが、NTFS Alternate Data Streamsによる複製中に上書きされる可能性があります（CVE-2019-1352）

再帰サブモジュールの複製により、.git/で記述された同義のディレクトリ名でgitディレクトリを2回使用する可能性があります（CVE-2019-1349）

コマンドラインの引数を不適切に引用すると、再帰的な複製の間にリモートでコードが実行される可能性がありました（CVE-2019-1350）

Gitは、ファイル名にバックスラッシュがある追跡対象ファイルの書き込みを拒否しません（CVE-2019-1354）

再帰的なクローンとそれに続くサブモジュールの更新は、ユーザーによる明示的な同意なく、リポジトリ内に含まれるコードを実行する可能性がありました。「gitのサブモジュールの更新」操作で悪質なリポジトリの.gitmodulesファイルで見つかったコマンドを実行できるため、2.20.2前、2.21.1前の2.21.x、2.22.2前の2.22.x、2.23.1前の2.23.x、2.24.1前の2.24.xのGitでは任意のコマンド実行が可能です。（CVE-2019-19604）

リモートホストにインストールされている git のバージョンは、2.23.1-0より前のバージョンです。したがって、ALAS2-2025-2818 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    任意のパスを予期せず上書きする可能性があるエクスポートマーク機能を提供する欠陥が、git fast-importコマンドで見つかりました。攻撃者が、エクスポートマーク機能を使用して fast-import コマンドに渡される入力を制御できる場合、この欠陥を悪用し、任意のファイルを上書きする可能性がありますが、ファイルのコンテンツを完全に制御することはできません。 （CVE-2019-1348）

    git サブモジュールを処理する方法で、不適切な入力検証の欠陥が git で発見されました。リモートの攻撃者がこの欠陥を悪用して、被害者のユーザーを騙して、悪意のあるリポジトリを再帰的に複製させる可能性があります。これにより、特定の状況下で、gitが同じgitディレクトリを2回使用するように誘導され、リモートでコードが実行される可能性があります。 （CVE-2019-1349）

    Git for Visual Studio が入力を不適切にサニタイズするとき、リモートでコードが実行される脆弱性があります（別名「Git for Visual Studioのリモートでコードが実行される脆弱性」）。この CVE ID は CVE-2019-1349、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 に対して一意です。(CVE-2019-1350)

    Git for Visual Studioが仮想ドライブパスを不適切に処理するとき、改ざんの脆弱性があります（別名「Git for Visual Studioの改ざんの脆弱性」）。 （CVE-2019-1351）

    Git for Visual Studio が入力を不適切にサニタイズするとき、リモートでコードが実行される脆弱性があります（別名「Git for Visual Studioのリモートでコードが実行される脆弱性」）。この CVE ID は CVE-2019-1349、CVE-2019-1350、CVE-2019-1354、CVE-2019-1387 に対して一意です。(CVE-2019-1352)

    v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4、v2より前のGitで問題が見つかりました。 14.6.通常の Windows ドライブの作業ディレクトリにアクセスしながら、Windows Subsystem for Linux（別名 WSL）で Git を実行すると、どの NTFS 保護もアクティブになりませんでした。
    (CVE-2019-1353)

    Git for Visual Studio が入力を不適切にサニタイズするとき、リモートでコードが実行される脆弱性があります（別名「Git for Visual Studioのリモートでコードが実行される脆弱性」）。この CVE ID は CVE-2019-1349、CVE-2019-1350、CVE-2019-1352、CVE-2019-1387 に対して一意です。(CVE-2019-1354)

    gitがgitメタデータパスの構築に使用されるサブモジュールの名前を不適切に検証し、別のサブモジュールのメタデータの保存に使用される既存のディレクトリでそれらがネストされるのを防止しない欠陥が発見されました。リモートの攻撃者がこの欠陥を悪用して、被害者のユーザーを騙して、サブモジュールを含む悪意のあるリポジトリの複製を作成させる可能性があります。これが再帰的に複製されると、欠陥を発生させ、被害者のマシンでリモートでコードを実行する可能性があります。 （CVE-2019-1387）

    gitにセキュリティバイパスが発見されました。これにより、gitサブモジュールの更新中に任意のコマンドが実行される可能性があります。リモートの攻撃者が、被害者のユーザーを騙して、一見問題ないように見える悪意のあるリポジトリを複製させる可能性があります。これにより、アクセス権が、サブモジュールの初期化中の任意のコマンドの実行を防止するセキュリティメカニズムをバイパスする可能性があります。被害者のユーザーがリポジトリとサブモジュールを更新した後、脆弱なバージョンのgitが.gitmodulesファイルの更新設定を使用して、任意のコマンドを実行する可能性があります。 （CVE-2019-19604）

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133218	Debian DLA-2059-1 : gitセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/1/24	2024/3/29	critical
133344	openSUSEセキュリティ更新プログラム：git（openSUSE-2020-123）	Nessus	SuSE Local Security Checks	2020/1/30	2024/3/28	critical
135580	SUSE SLES12セキュリティ更新プログラム：git（SUSE-SU-2020:0992-1）	Nessus	SuSE Local Security Checks	2020/4/15	2022/5/13	critical
136074	SUSE SLED15 / SLES15セキュリティ更新プログラム：git（SUSE-SU-2020:1121-1）	Nessus	SuSE Local Security Checks	2020/4/29	2022/5/13	critical
132026	Amazon Linux AMI：git（ALAS-2019-1325）	Nessus	Amazon Linux Local Security Checks	2019/12/13	2024/4/4	critical
132259	Amazon Linux 2：git（ALAS-2019-1371）	Nessus	Amazon Linux Local Security Checks	2019/12/19	2024/4/3	critical
136311	openSUSEセキュリティ更新プログラム：git（openSUSE-2020-598）	Nessus	SuSE Local Security Checks	2020/5/4	2024/3/13	critical
234508	Amazon Linux 2: git（ALAS-2025-2818）	Nessus	Amazon Linux Local Security Checks	2025/4/17	2025/10/30	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical