GO-2021-0073

vendorUSosv

Arbitrary command execution in github.com/git-lfs/git-lfs

Advisory ansehen veröffentlicht 2021-04-14Lizenz: per source

Arbitrary command execution can be triggered by improperly sanitized SSH URLs in LFS configuration files. This can be triggered by cloning a malicious repository.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2017-17831US	high8.8	3.68% (90th)	—	2017-12-21
GitHub Git LFS before 2.1.1 allows remote attackers to execute arbitrary commands via an ssh URL with an initial dash character in the hostname, located on a "url =" line in a .lfs…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

http://blog.recurity-labs.com/2017-08-10/scm-vulnsWEB
https://confluence.atlassian.com/sourcetreekb/sourcetree-security-advisory-2018-01-24-942834324.htmlWEB
https://github.com/git-lfs/git-lfs/commit/f913f5f9c7c6d1301785fdf9884a2942d59cdf19FIX
https://github.com/git-lfs/git-lfs/pull/2241FIX

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan