CVE-2018-17456

Błąd polega na nieprawidłowej walidacji wartości pola URL w pliku .gitmodules — gdy URL zaczyna się od znaku '-', Git niepoprawnie interpretuje go jako argument wiersza poleceń (argument injection, CWE-88). Podczas wykonywania rekurencyjnego polecenia 'git clone' dla superprojektu, złośliwy URL jest przekazywany do podprocesów w sposób umożliwiający wstrzyknięcie dowolnych opcji. W efekcie atakujący może wymusić wykonanie wybranych przez siebie poleceń na maszynie ofiary.

Atakujący może uzyskać pełną kontrolę nad systemem ofiary — wykonać dowolny kod, uzyskać dostęp do poufnych danych oraz zmodyfikować lub usunąć pliki systemowe.

Należy zaktualizować Git do wersji 2.14.5, 2.15.3, 2.16.5, 2.17.2, 2.18.1 lub 2.19.1 (odpowiednio do posiadanej gałęzi). Użytkownicy dystrybucji Linuksowych powinni zastosować patche dostępne w oficjalnych repozytoriach systemu (Red Hat, Ubuntu, Debian). Należy unikać rekurencyjnego klonowania repozytoriów z niezaufanych źródeł do czasu wdrożenia poprawki.

Git w wersjach przed 2.14.5, 2.15.x przed 2.15.3, 2.16.x przed 2.16.5, 2.17.x przed 2.17.2, 2.18.x przed 2.18.1 oraz 2.19.x przed 2.19.1. Dotyczy dystrybucji takich jak Red Hat Enterprise Linux Workstation, Canonical Ubuntu Linux oraz Debian Linux.

Podatność dotyczy również narzędzi korzystających z Git jako biblioteki lub wywołujących go jako podproces — przykładem jest Sourcetree, który według referencji był podatny na exploitation tej luki.