Git、SVN和Mercurial 控制系統爆出重大漏洞：可任意執行代碼
三款主要的開源版本控制系統都面臨險境：存在可能讓攻擊者任意執行代碼的漏洞。
全球各地的開發人員可要注意了：你們必須立即更新版本控制系統，否則就有可能面臨這種風險：因一個已知漏洞而被人鑽空子。
三種主要的開源版本控制系統：Git、Subversion（svn）和Mercurial近日都紛紛發布了更新版，針對一個重大的安全漏洞打上補丁，該漏洞有可能讓攻擊者能夠執行任意代碼。安全漏洞是由GitLab的布賴恩·尼爾（Brian Neel）、Recurity Labs的喬恩·施奈韋茲（Joern Schneeweisz）和GitHub的傑夫·金（Jeff King）發現並報告的。
Git維護人員朱尼爾·哈馬諾（Junio Hamano）在郵件列表消息中寫道：「這些版本含有針對CVE-2017-1000117的安全補丁，是與存在類似問題的Subversion和Mercurial協同發布的。CVE-2017-9800和CVE-2017-1000116是分別為這些系統的類似問題而取的名字，這些問題如今在協同發布的各自版本中已得到了解決。」
上述安全漏洞需要一點社會工程學伎倆才能得逞。
Git在安全公告中提醒：「惡意的第三方可以向未起疑心的受害者發送做過手腳的『ssh://…』URL；一旦試圖訪問該URL，就會導致駐留在受害者機器上的任何程序被執行。」
ApacheSubversion（SVN）1.9.7更新版針對CVE-2017-9800問題打上了問題，這個問題的性質類似Git打上補丁的那個問題。
「通過svn:externals和svn:sync-from-url中惡意的svn+ssh URL，在客戶端上任意執行代碼」，這正是新的SVN更新版中打上補丁的安全問題。
開源Mercurial版本控制項目推出了新的4.3和4.2.3更新版，以消除這個問題。Mercurial將該漏洞標為CVE-2017-1000115。
Mercurial的安全公告提醒：「Mercurial並不確保傳遞給ssh的主機名乾淨，從而讓攻擊者得以通過指定以-oProxyCommand開始的主機名，實施shell注入攻擊。」
點擊展開全文
※Gartner：全球十大網路安全諮詢公司
※不小心刪除了資料庫，是什麼樣的體驗？
※2017年容器和雲編排調查結果及分析
※惠普要把超級計算機送到國際空間站上去
※我在 Serverless 方面的慘痛教訓
TAG:雲頭條 |
※NVIDIA靜默修復Selfblow漏洞：可在Tegra晶元之上執行任意惡意代碼
※Mirai和Gafgyt新變種利用Struts和SonicWall漏洞攻擊企業
※Gradle Plugin Portal：結合點擊劫持和CSRF漏洞實現帳戶接管
※Electron 軟體框架漏洞影響眾多熱門應用：Skype、Signal、Slack、Twitch……
※Intel CPU 再現新漏洞：預測執行攻擊 L1 Terminal Fault
※實測：Meltdown漏洞對AWS、Azure和DigitalOcean的不同影響
※Oracle WebLogic Server反序列化遠程代碼執行漏洞成焦點
※Optiemus的BlackBerry Ghost Pro出現在新漏洞中
※Windows、Linux、macOS 爆嚴重安全漏洞！
※Microsoft Exchange Server遠程代碼執行漏洞-高危
※WordPress插件YITH WooCommerce Wishlist SQL注入漏洞
※Mirai變成Miori：IoT殭屍網路通過ThinkPHP遠程代碼執行漏洞傳播
※Kubernetes Kubectl CLI 工具曝出「高危」安全漏洞
※Electron曝XSS 漏洞，Atom、VS Code 等受影響
※漏洞交易公司Zerodium披露：NoScript漏洞允許在Tor中執行代碼
※Asruex後門變種通過Office和Adobe漏洞感染word和PDF文檔
※Google公布重大iOS漏洞：可通過iMessage發動攻擊
※思科Elastic Services Controller服務埠存在身份繞過漏洞，請儘快升級更新
※Intel CPU再曝底層漏洞 攻擊範圍可超越Spectre和Meltdown
※谷歌挖出 iMessage 新漏洞，運行舊系統的 iPhone 只能重置修復