Git における値検証不備を悪用して任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2024.03.28(木)

Git における値検証不備を悪用して任意のコードが実行可能となる脆弱性(Scan Tech Report)

Metasploit 用のエクスプロイトコードの他に、多数の検証用コードが GitHub 上に公開されています。クローンすることにより、テスト用のコードの実行を試みるものですが、悪意のあるレポジトリが存在する可能性があるため注意が必要です。

脆弱性と脅威 エクスプロイト
◆概要

Git に、値検証不備に起因する遠隔コード実行の脆弱性が報告されています。攻撃者が作成した悪意のあるレポジトリに対して git コマンドを実行した際に、任意のコードが実行されてしまう可能性があります。アップデートにより対策してください。

◆分析者コメント

脆弱性を悪用するためには、攻撃者が作成した悪意のあるレポジトリに Git の利用者を誘導するか、他人のレポジトリを乗っ取り gitmodule を改ざんするという流れが考えられます。クライアントサイドの脆弱性であるため、どのように対象端末に一連の動作の実行を誘導できるかが攻撃成立の要点となりますが、利用者が多いレポジトリが不正アクセスされてしまった場合は、当該脆弱性により悪意のあるコードを実行され、レポジトリの利用者がマルウェア等に感染させられてしまう可能性が考えられます。

《株式会社ラック デジタルペンテスト部》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×