The Microsoft Visual Studio Products are missing security updates. It is, therefore, affected by multiple vulnerabilities:

  - Using a specially-crafted repository, Git prior to versions 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7,     2.32.6, 2.31.7, and 2.30.8 can be tricked into using its local clone optimization even when using a non-local transport.
    As a workaround, avoid cloning repositories from untrusted sources with --recurse-submodules. Instead, consider cloning     repositories without recursively cloning their submodules, and instead run git submodule update at each layer. Before     doing so, inspect each new .gitmodules file to ensure that it does not contain suspicious module URLs. (CVE-2023-22490)

  - Prior to Git for Windows version 2.39.2, by carefully crafting DLL and putting into a subdirectory of a specific name     living next to the Git for Windows installer, Windows can be tricked into side-loading said DLL. This potentially allows     users with local write access to place malicious payloads in a location where automated upgrades might run the Git for Windows     installer with elevation. If upgrading is impractical, never leave untrusted files in the Downloads folder or its sub-folders     before executing the Git for Windows installer, or move the installer into a different directory before executing it.
    (CVE-2023-22743)

  - Prior to Git for Windows version 2.39.2, when gitk is run on Windows, it potentially runs executables from the current directory     inadvertently, which can be exploited with some social engineering to trick users into running untrusted code. As a workaround,     avoid using gitk (or Git Visualize History functionality) in clones of untrusted repositories. (CVE-2023-23618)

  - Git is vulnerable to path traversal prior to versions 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7, and     2.30.8. By feeding a crafted input to git apply, a path outside the working tree can be overwritten as the user who is running     git apply. As a workaround, use git apply --stat to inspect a patch before applying; avoid applying one that creates a symbolic     link and then creates a file beyond the symbolic link. (CVE-2023-23946)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Microsoft Visual Studio 製品にセキュリティ更新プログラムがありません。そのため、以下の複数の脆弱性の影響を受けます。

  - 特別に細工されたリポジトリを使用すると、バージョン 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7、および 2.30.8 より前の Git は、非ローカルトランスポートを使用している場合でも、ローカルクローンの最適化を使用するよう騙すことができます。
    回避策として、--recurse-submodules で信頼できないソースからのリポジトリの複製をしないでください。代わりに、サブモジュールを再帰的に複製せずにリポジトリを複製し、各レイヤーで git submodule update を実行してください。これを行う前に、新しい各 .gitmodules ファイルを検査して、疑わしいモジュールの URL が含まれていないことを確認します。(CVE-2023-22490)

  - Git for Windows バージョン 2.39.2 より前は、DLL を慎重に細工し、Git for Windows インストーラーの隣にある特定の名前のサブディレクトリに配置することで、Windows が騙されて DLL をサイドローディングする可能性があります。これにより、ローカルの書き込みアクセス権を持つユーザーが、自動アップグレードによって Git for Windows インストーラーが昇格して実行される可能性がある場所に、悪意のあるペイロードを配置する可能性があります。アップグレードが現実的でない場合は、Git for Windows インストーラーを実行する前に Downloads フォルダーまたはそのサブフォルダーに信頼できないファイルを残さないか、またはインストーラーを実行する前に別のディレクトリに移動してください。
    (CVE-2023-22743)

  - Git for Windows バージョン 2.39.2 より前は、Windows で gitk を実行すると、現在のディレクトリから実行可能ファイルが意図せず実行される可能性があり、これを悪用して、ソーシャルエンジニアリングでユーザーを騙して、信頼できないコードを実行させる可能性があります。回避策として、信頼できないリポジトリのクローンで gitk (または Git Visualize History 機能) を使用しないでください。(CVE-2023-23618)

  - Git は、バージョン 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7、および 2.30.8より前のパストラバーサルに対して脆弱です。細工された入力を git apply にフィードすることで、git apply を実行しているユーザーとして、作業ツリー外のパスが上書きされる可能性があります。回避策として、パッチを適用する前に git apply --stat を使用して検査してください。シンボリックリンクを作成し、その先にファイルを作成するようなものを適用しないでください。(CVE-2023-23946)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Microsoft Visual Studio 产品缺少安全更新。因此，它受到多个漏洞影响：

  - 使用特制的存储库时，低于 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7 和 2.30.8 版本的 Git 可被诱骗使用其本地克隆优化，即便在使用非本地传输时也不例外。
    变通方案是避免从带 --recurse-submodules 的不受信任的来源克隆存储库。相反，考虑在不以递归方式克隆其子模块的情况下克隆存储库，并在每一层运行“git submodule update”。执行此操作之前，请检查每个新的“.gitmodules”文件以确保其中不包含可疑的模块 URL。(CVE-2023-22490)

  - 对于低于 Git for Windows 2.39.2 的版本，精心构建 DLL 并将其放入位于 Git for Windows 安装程序旁的特定名称的子目录，即可诱骗 Windows 侧载所述 DLL。这可能允许具有本地写入权限的用户将恶意负载放置在自动升级可能用以提升运行 Git for Windows 安装程序的位置。如果升级不切实际，请在执行 Git for Windows 安装程序之前将不受信任的文件保留在 Downloads 文件夹或其子文件夹中，或者在执行之前将安装程序移动到其他目录。
    (CVE-2023-22743)

  - 对于低于 Git for Windows 2.39.2 的版本，当 gitk 在 Windows 上运行时，它可能无意中运行当前目录中的可执行文件，攻击者可通过一些社交工程对此加以利用，以诱骗用户运行不受信任的代码。变通方案是避免在不受信任的存储库克隆中使用 gitk（或 Git 可视化历史记录功能）。(CVE-2023-23618)

  - 低于 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7 和 2.30.8 的 Git 版本易受路径遍历影响。向“git apply”提供特制的输入，即可以运行“git apply”的用户身份覆盖工作树之外的路径。变通方案是，使用 `git apply --stat` 在应用前检查修补程序；避免应用会创建符号链接然后在符号链接之外创建文件的链接。(CVE-2023-23946)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Microsoft Visual Studio 產品缺少安全性更新，因此，它受到多個弱點影響：

  - 使用特製的存放庫，可以誘騙 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7 和 2.30.8 版之前的 Git 使用其本機複製最佳化，即使在使用非本機傳輸時亦然。
    作爲因應措施，請避免使用 --recurse-submodules 從未受信任的來源複製存放庫。請改為考慮在複製存放庫時，不以遞回方式複制子模組，並在每一層執行「git submodule update」。在此之前，請檢查每個新的 .gitmodules 檔案，以確保其中未包含可疑的模組 URL。(CVE-2023-22490)

  - 在 Git for Windows 2.39.2 之前版本中，藉由將特製的 DLL 放置在 Git for Windows 安裝程式旁邊具有特定名稱的子目錄中，可誘騙 Windows 側向載入此 DLL。這可能允許具有本機寫入權限的使用者透過提升權限，將惡意承載放置在自動升級功能可能執行 Git for Windows 安裝程式的位置。如果無法升級，請在執行 Git for Windows 安裝程式之前，將不受信任的檔案留在 Downloads 資料夾或其子資料夾中，或者在執行前將安裝程式移動至其他目錄。
    (CVE-2023-22743)

  - 在 Git for Windows 2.39.2 之前版本中，當在 Windows 上執行 gitk 時，系統可能會不慎從目前目錄執行可執行檔，攻擊者可利用某些社交工程技術，利用此弱點誘騙使用者執行未受信任的程式碼。作爲因應措施，請勿使用 gitk (或 Git Visualize History 功能) 複製未受信任的存放庫。(CVE-2023-23618)

  - Git 2.39.2、2.38.4、2.37.6、2.36.5、2.35.7、2.34.7、2.33.7、2.32.6、2.31.7 和 2.30.8 之前版本容易受到路徑遊走攻擊。透過向「git apply」提供特製輸入，可以作爲執行「git apply」的使用者覆寫工作樹狀結構之外的路徑。因應措施是，在套用修補程式前，先使用「git apply --stat」執行檢查；避免套用會建立符號連結並於隨後在符號連結之外建立檔案的修補程式。(CVE-2023-23946)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
172528	Security Updates for Microsoft Visual Studio Products (March 2023)	Nessus	Windows : Microsoft Bulletins	2023/3/14	2024/4/8	high
172528	Microsoft Visual Studio 製品のセキュリティ更新プログラム (2023 年 3 月)	Nessus	Windows : Microsoft Bulletins	2023/3/14	2024/4/8	high
172528	Microsoft Visual Studio 产品的安全更新（2023 年 3 月）	Nessus	Windows : Microsoft Bulletins	2023/3/14	2024/4/8	high
172528	Microsoft Visual Studio 產品的安全性更新 (2023 年 3 月)	Nessus	Windows : Microsoft Bulletins	2023/3/14	2024/4/8	high

偵測

搜尋 Plugin

high

high

high

high