GitHub修復了允許任意程式碼執行的安全漏洞 Windows不受影響
阿新 • • 發佈：2018-11-12
GitHub是面向全球開發人員的首選程式碼共享和託管服務。雖然歐盟尚未最終確定該交易，但該公司在6月被微軟收購，作價75億美元。今天，GitHub宣佈了他們系統中的一個漏洞，允許任意程式碼執行的安全漏洞的攻擊。現在已經解決了這個問題，目前只有Unix平臺受到了影響。
GitHub的安全列表表示，如果執行了特定的命令，即“git clone --recurse-submodules”，其軟體中的漏洞允許在客戶端平臺上執行任意程式碼。它解釋說：
執行“git clone --recurse-submodules”時，Git會解析提供的.gitmodules檔案中的URL欄位，並將其作為引數盲目地傳遞給“git clone”子程序。如果URL欄位設定為以短劃線開頭的字串，則此“git clone”子程序將URL解釋為選項。這可能導致執行超級專案中的任意指令碼作為執行“git clone”的使用者。
在一篇部落格文章中，微軟澄清了這個問題僅僅影響基於Unix的平臺，如Linux和macOS，或適用於在Windows子系統Linux（WSL）的Linux發行版中執行git的人。這是因為在利用漏洞時寫入磁碟的檔名稱中需要冒號，並且由於Windows檔案系統不支援冒號，因此Git for Windows不會寫入該檔案。
該公司還注意到其在任何平臺（macOS，Windows）上使用Git的Visual Studio產品不受影響，但GitHub仍然建議使用者升級到Git版本2.17.2,2.18.1和2.19.1。