DFN-CERT Portal

Schwachstellen

DFN-CERT-2017-0823: Git: Eine Schwachstelle ermöglicht die Manipulation von Dateien

Historie

Version 1 (2017-05-10 15:59)
Neues Advisory
Version 2 (2017-05-15 16:35)
Canonical stellt für die Distributionen Ubuntu 17.04, Ubuntu 16.10, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS verschiedene Backport-Sicherheitsupdates bereit, um diese Schwachstelle zu beheben.
Version 3 (2017-05-19 15:41)
Für die SUSE Linux Enterprise Produkte Software Development Kit und Server stehen für die Versionen 12 SP1 und 12 SP2 sowie für SUSE Linux Enterprise Server for Raspberry Pi 12 SP2 und OpenStack Cloud Magnum Orchestration 7 Sicherheitsupdates für git bereit.
Version 4 (2017-05-29 09:46)
Für openSUSE Leap 42.2 steht ein Sicherheitsupdate zur Behebung der Schwachstelle bereit.
Version 5 (2017-05-29 14:01)
SUSE veröffentlicht für SUSE Studio Onsite 1.3 sowie für die SUSE Linux Enterprise Produkte Software Development Kit und Debuginfo in der Version 11 SP4 Sicherheitsupdates für Git.

Betroffene Software

Git < 2.4.12
Git < 2.5.6
Git < 2.6.7
Git < 2.7.5
Git < 2.8.5
Git < 2.9.4
Git < 2.10.3
Git < 2.11.2
Git < 2.12.3

Betroffene Plattformen

SUSE Linux Enterprise Debuginfo 11 SP4
SUSE Linux Enterprise Software Development Kit 11 SP4
SUSE Linux Enterprise Software Development Kit 12 SP1
SUSE Linux Enterprise Software Development Kit 12 SP2
OpenStack Magnum 7
SUSE Studio Onsite 1.3
Canonical Ubuntu Linux 14.04 LTS
Canonical Ubuntu Linux 16.04 LTS
Canonical Ubuntu Linux 16.10
Canonical Ubuntu Linux 17.04
Debian Linux 8.8 Jessie
openSUSE Leap 42.2
SUSE Linux Enterprise Server 12 SP1
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
Red Hat Fedora 24
Red Hat Fedora 25
Red Hat Fedora 26

Lösung

Patch

Debian Security Advisory DSA-3848-1

Patch

Download Git

Patch

Fedora Security Update FEDORA-2017-01a7989fc0 (git-2.7.5-1.fc24)

Patch

Fedora Security Update FEDORA-2017-7ea0e02914 (git-2.13.0-1.fc26)

Patch

Fedora Security Update FEDORA-2017-f4319b6dfc (git-2.9.4-1.fc25)

Patch

Ubuntu Security Notice USN-3287-1

Patch

SUSE Security Update SUSE-SU-2017:1357-1

Patch

SUSE Security Update SUSE-SU-2017:1432-1

Patch

openSUSE Security Update openSUSE-SU-2017:1422-1

Beschreibung

Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in Git ausnutzen, um Dateien in entfernten Repositorien zu manipulieren, deren Name mit einem Dash ('-') beginnt.

Zur Behebung der Schwachstelle stehen die Versionen 2.4.12, 2.5.6, 2.6.7, 2.7.5, 2.8.5, 2.9.4, 2.10.3, 2.11.2 und 2.12.3 von Git bereit.

Debian stellt für die stabile Distribution Debian Jessie ein Backport-Sicherheitsupdate bereit. Für Fedora 24, 25 und 26 stehen mit den Paketen 'git-2.7.5-1.fc24', 'git-2.9.4-1.fc25' und 'git-2.13.0-1.fc26' Sicherheitsupdates auf aktuelle Versionen von Git im Status 'pending' bereit.

Schwachstellen

CVE-2017-8386: Schwachstelle in Git ermöglicht Manipulation von Dateien

Die Verbindung zu entfernten Servern über 'git-shell' (SSH) erlaubt erlaubt die Verwendung von Optionen, die über Dashes ('-') in die Kommandozeile eingegeben werden können. Die Verwendung von Repositorien mit Namen, die einen vorangestellten Dash enthalten, ist für 'git-shell' nicht eindeutig implementiert. Die Ergebnisse von Befehlszeilenoperationen in diesem Kontext sind daher nicht eindeutig und können von Denial-of-Service (DoS)-Zuständen (Ausführung des Befehls wird verweigert) bis hin zur unautorisierten Manipulation von Dateien (über die Option '--help' wird ein interaktiver Terminal Pager wie 'emacs' oder 'nano' gestartet) reichen.

Referenzen

© DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf des schriftlichen Einverständnisses des Rechteinhabers.