酷应用

【安全日记】Git存在远程代码漏洞，核心代码遇窃取风险

百家作者：绿盟科技 2018-06-15 08:25:16

焦点漏洞

◆ 焦点漏洞

Git远程代码执行漏洞

◆ NSFOCUS ID

39932

◆ CVE ID

CVE-2018-11235

◆ 受影响版本

GIT < 2.13.7
GIT 2.17.x < 2.17.1
GIT 2.16.x < 2.16.4
GIT 2.15.x < 2.15.2
GIT 2.14.x < 2.14.4

◆ 漏洞点评

Git是一套免费、开源的分布式版本控制系统。Git在实现上存在远程代码执行漏洞，该漏洞源于在用git clone时没有对submodule的文件夹命名做足够的验证，当用户在使用“git clone –recurse-submodules”时, 攻击者可以通过构造一个恶意的.gitmodules文件从而远程执行任意代码。目前厂商已经发布了升级补丁以修复这个安全问题，请用户及时到厂商主页下载更新。

（数据来源：绿盟科技安全研究部&产品规则组）

互联网安全威胁态势

CVE统计

最近一周CVE公告总数与前期相比基本持平。

每日简报回顾

●标题：Confirmed—Microsoft Buys GitHub For $7.5 Billion

时间：2018-06-03

摘要：For those unaware, GitHub is a popular code repository hosting service that allows developers to host their projects, documentation, and code in the cloud using the popular Git source management system, invented in 2005 by Linux founder Linus Torvalds

链接：https://thehackernews.com/2018/06/microsoft-acquires-github.html

●标题：Zip Slip漏洞可导致RCE 多个语言库受影响 JAVA影响最大含POC

时间：2018-06-06

摘要：Zip Slip漏洞“任意文件覆盖”和“目录遍历”问题的结合，可能导致攻击者可以将文件解压缩到正常解压缩路径之外并覆盖敏感文件，如关键OS库或服务器配置文件。

链接：http://toutiao.secjia.com/zip-slip

●标题：Over 115,000 Drupal Sites Still Vulnerable to Drupalgeddon2 Exploit

时间：2018-06-04

摘要：Hundreds of thousands of websites running on the Drupal CMS—including those of major educational institutions and government organizations around the world—have been found vulnerable to a highly critical flaw for which security patches were released almost two months ago

链接：https://thehackernews.com/2018/06/drupalgeddon2-exploit.html

●标题：Adobe Flash修复0day漏洞发布新版本请用户及时更新

时间：2018-06-08

摘要：近期，研究人员发发现Adobe Flash存在一个0day漏洞CVE-2018-5002，它可以被攻击者利用进行任意代码执行，Adobe确认漏洞可以针对Windows用户进行0day攻击。Adobe已针对本次漏洞发布了最新版本，请用户及时更新。

链接：http://toutiao.secjia.com/adobe-flash-cve-2018-5002

……

（数据来源：绿盟科技威胁情报与网络安全实验室收集整理）

漏洞研究

漏洞库统计

截止到2018年6月8日，绿盟科技漏洞库已收录总条目达到40038条。本周新增漏洞记录99条，其中高危漏洞数量5条，中危漏洞数量28条，低危漏洞数量66条。