CVE-2014-9390

描述

Git before 1.8.5.6, 1.9.x before 1.9.5, 2.0.x before 2.0.5, 2.1.x before 2.1.4, and 2.2.x before 2.2.1 on Windows and OS X; Mercurial before 3.2.3 on Windows and OS X; Apple Xcode before 6.2 beta 3; mine all versions before 08-12-2014; libgit2 all versions up to 0.21.2; Egit all versions before 08-12-2014; and JGit all versions before 08-12-2014 allow remote Git servers to execute arbitrary commands via a tree containing a crafted .git/config file with (1) an ignorable Unicode codepoint, (2) a git~1/config representation, or (3) mixed case that is improperly handled on a case-insensitive filesystem.

如何修補 CVE-2014-9390

要修補 CVE-2014-9390,請將受影響套件升級到下列已修補版本。

• —升級至 0.10.1-1 或更新版本
• —升級至 1:2.1.4-1 或更新版本
• —升級至 3.7.0-1 或更新版本
• —升級至 0.21.3-1 或更新版本
• —升級至 3.1.2-2 或更新版本
• —升級至 1.6.4-1+deb6u1 或更新版本
• —升級至 3.5.3 或更新版本
• —升級至 3.2.3 或更新版本
• —升級至 3.2.3 或更新版本

CVE-2014-9390 正在被利用嗎?

可能 — EPSS 為 63.2%,屬於高被利用機率區間,建議優先修補。

受影響套件(9)

• from 0, < 0.10.1-1
• from 0, < 1:2.1.4-1
• from 0, < 3.7.0-1
• from 0, < 0.21.3-1
• from 0, < 3.1.2-2
• from 0, < 1.6.4-1+deb6u1
• from 0, < 3.5.3
• from 0, < 3.2.3
• from 0, < 3.2.3

CVSS 分數

參考連結(16)

• ADVISORYgithub.com/advisories/GHSA-6vvc-c2m3-cjf3
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2014-9390
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2014-9390
• WEBarticle.gmane.org/gmane.linux.kernel/1853266
• WEB