遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 1511 公告中提及的弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 3581 公告中提及的多個弱點影響。

  - git：如果建構的 URL 包含新行、空主機或缺少配置，則可能導致憑證洩漏 (CVE-2020-11008)

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Felix Wilhelm 發現 Git 未正確處理某些包含新行的 URL。遠端攻擊者可能利用此問題，誘騙 Git 針對錯誤的主機傳回認證資訊。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

來自 Red Hat 安全性公告 2020:1511：

現已提供適用於 Red Hat Enterprise Linux 7 的 git 更新。

Red Hat 產品安全性團隊已將此更新評等為具有「重要」安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Git 是具有非集中式架構的分散式修訂版控制系統。與具有主從架構模型的集中式版本控制系統相反，Git 可確保 Git 存放庫的每個工作中複本都具有完整的修訂版歷程記錄。這不僅允許使用者在不需要將變更推送至其官方存放庫之權限的情況下對專案進行處理及貢獻，還可讓使用者在沒有網路連線的情況下工作。

安全性修正：

* git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

如需有關安全性問題的詳細資料，包括影響、CVSS 評分、確認及其他相關資訊，請參閱〈參照〉一節中列出的 CVE 頁面。

Google Project Zero 的 Felix Wilhelm 在 git (一個快速可擴充的分散式修訂版本控制系統) 中發現一個瑕疵。面對精心建構的包含新行的 URL 時，憑證協助程式機制可能會遭到誘騙，返回錯誤主機的憑證資訊。

面對精心建構的 URL (包含換行字元) 時，認證協助程式機制可能會遭到誘騙，而提供錯誤主機的認證資訊。已禁止在透過認證通訊協定傳遞的任何值中使用換行字元，從而防止此攻擊。
(CVE-2020-5260)。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1513 公告中提及的弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

執行 CORE 5.05 / MAIN 5.05 版的遠端 NewStart CGSL 主機上安裝的 git 套件受到多個弱點影響：

  - 在 Git v2.24.1 之前的版本、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 版中發現一個問題。遞回複製目前受到因子模組名稱驗證過於寬鬆造成的弱點影響，允許透過遞回複製中的遠端程式碼執行發動極有針對性的攻擊。(CVE-2019-1387)

  - 受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。Git 使用外部憑證協助程式來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。包含編碼新行的特別建構 URL 可將非預定值插入憑證協助程式通訊協定資料流，造成憑證協助程式擷取一台伺服器 (例如 good.example.com) 的密碼，以向其他伺服器發出 HTTP 要求 (例如 evil.example.com)，進而導致將前者的憑證傳送至後者。對兩者之間的關係沒有限制，這表示攻擊者可以特製 URL，將所儲存的任何主機憑證提供給他們選擇的主機。藉由提供惡意 URL 至 git clone 可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。此問題已在 2020 年 4 月 14 日發佈的版本中得到修補，回溯至 v2.17.x 版本。希望進一步反向移植變更的所有使用者皆可套用 commit 9a6bbee  (完整版本包含對 git fsck 的額外檢查，但該 commit 足以保護用戶端不受此弱點影響)。修補的版本為：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
    (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 1503 公告中提及的一個弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

新 git 套件適用於 Slackware 14.0、14.1、14.2 和
最新版本，可修復多個安全性問題。

Google Project Zero 的 Felix Wilhelm 在 git (一個快速可擴充的分散式修訂版本控制系統) 中發現一個瑕疵。面對精心建構的包含新行的 URL 時，憑證協助程式機制可能會遭到誘騙，返回錯誤主機的憑證資訊。

針對 Debian 8「Jessie」，已在 1:2.1.4-2.1+deb8u9 版本中修正此問題。

建議您升級 git 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

面對精心建構的 URL (包含換行字元) 時，認證協助程式機制可能會遭到誘騙，而提供錯誤主機的認證資訊。已禁止在透過認證通訊協定傳遞的任何值中使用換行字元，從而防止該攻擊。(CVE-2020-5260)

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1518 公告中提及的弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

安全性修正：

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機上安裝的 git 套件受到多個弱點影響：

  - 受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。此錯誤與 CVE-2020-5260 (GHSA-qm7j-c969-7j4q) 類似。該錯誤的修正程式仍為 _some_ credential 的洩漏提供了可能 (但攻擊者無法控制哪一個憑證) 。Git 使用外部憑證協助程式來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。從最近發佈的 Git 版本開始，被視為非法的特製 URL 會造成 Git 傳送空白模式給協助程式，導致缺少主機名稱和通訊協定欄位。許多協助程式會將此解譯為符合 _any_ URL，並傳回一些不明的已儲存密碼，進而將密碼洩漏給攻擊者的伺服器。藉由提供惡意 URL 至「git clone」可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。問題的根源在 Git 本身，其不應將空白輸入提供給協助程式。不過，實際利用此弱點的能力取決於正在使用的協助程式。已知會觸發弱點的憑證協助程式：- Git 的「store」協助程式 - Git 的「cache」協助程式 - Git 的「contrib」目錄中隨附的「osxkeychain」協助程式，已知即使在存在漏洞的 Git 版本中，這些協助程式也是安全的：- Git Credential Manager for Windows 應假定不在此清單中的任何協助程式皆會觸發此弱點。(CVE-2020-11008)

  - 受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。Git 使用外部憑證協助程式來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。包含編碼新行的特別建構 URL 可將非預定值插入憑證協助程式通訊協定資料流，造成憑證協助程式擷取一台伺服器 (例如 good.example.com) 的密碼，以向其他伺服器發出 HTTP 要求 (例如 evil.example.com)，進而導致將前者的憑證傳送至後者。對兩者之間的關係沒有限制，這表示攻擊者可以特製 URL，將所儲存的任何主機憑證提供給他們選擇的主機。藉由提供惡意 URL 至 git clone 可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。此問題已在 2020 年 4 月 14 日發佈的版本中得到修補，回溯至 v2.17.x 版本。希望進一步反向移植變更的所有使用者皆可套用 commit 9a6bbee  (完整版本包含對 git fsck 的額外檢查，但該 commit 足以保護用戶端不受此弱點影響)。修補的版本為：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
    (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202004-13 中所述的弱點影響 (Git：資訊洩漏)

    在 Git 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可提供特別構建的 URL，進而可能誘騙 Git 針對錯誤的主機傳回憑證資訊。
  因應措施：

    停用憑證協助程式可防止此弱點。

受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。此錯誤與 CVE-2020-5260 (GHSA-qm7j-c969-7j4q) 類似。
對該錯誤的修復仍然為利用
_some_ credential 洩露問題保留方便之門 (但攻擊者無法控制是哪一個)。Git 使用外部「憑證協助程式」來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。從最近發佈的 Git 版本開始，被視為非法的特製 URL 會造成 Git 傳送「空白」模式給協助程式，導致缺少主機名稱和通訊協定欄位。許多協助程式會將此解譯為符合 _any_ URL，並傳回一些不明的已儲存密碼，進而將密碼洩漏給攻擊者的伺服器。藉由提供惡意 URL 至「git clone」可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。問題的根源在 Git 本身，其不應將空白輸入提供給協助程式。不過，實際利用此弱點的能力取決於正在使用的協助程式。已知會觸發弱點的憑證協助程式：- Git 的「store」協助程式 - Git 的「cache」協助程式 - Git 的「contrib」目錄中隨附的「osxkeychain」協助程式，已知即使在存在弱點的 Git 版本中也安全的憑證協助程式：- Git Credential Manager for Windows 應假定不在此清單中的任何協助程式皆會觸發此弱點。(CVE-2020-11008)

受影響的 Git 版本有一個弱點，可誘騙 Git 將私密憑證傳送至攻擊者控制的主機。Git 使用外部「憑證協助程式」來儲存和擷取作業系統提供的安全儲存中的密碼或其他憑證。包含編碼新行的特製 URL 可將非預定值插入憑證協助程式通訊協定資料流，造成憑證協助程式擷取一台伺服器 (例如 good.example.com) 的密碼，以向其他伺服器發出 HTTP 要求 (例如 evil.example.com)，導致將前者的憑證傳送至後者。對兩者之間的關係沒有限制，這表示攻擊者可以特製 URL，將所儲存的任何主機憑證提供給他們選擇的主機。藉由提供惡意 URL 至 git clone 可觸發此弱點。不過，受影響的 URL 看起來相當可疑；可能的途徑會是自動複製對使用者不可見的 URL 的系統 (例如 Git 子模組)，或是圍繞 Git 構建的套件系統。此問題已在 2020 年 4 月 14 日發佈的版本中得到修補，回溯至 v2.17.x 版本。希望進一步反向移植變更的所有使用者皆可套用 commit 9a6bbee  (完整版本包含對 git fsck 的額外檢查，但該 commit 足以保護用戶端不受此弱點影響)。修補的版本為：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
(CVE-2020-5260)

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2020: 1513 公告中提及的弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

來自 Red Hat 安全性公告 2020:1513：

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 1513 公告中提及的弱點影響。

  - git：如果建構的 URL 包含新行，則可能導致憑證洩漏 (CVE-2020-5260)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
135770	RHEL 7：git (RHSA-2020: 1511)	Nessus	Red Hat Local Security Checks	2020/4/21	2024/4/28	high
140083	RHEL 7：git (RHSA-2020: 3581)	Nessus	Red Hat Local Security Checks	2020/8/31	2024/4/28	high
135581	Ubuntu 16.04 LTS / 18.04 LTS：Git 弱點 (USN-4329-1)	Nessus	Ubuntu Local Security Checks	2020/4/15	2023/10/20	high
135952	Oracle Linux 7：git (ELSA-2020-1511)	Nessus	Oracle Linux Local Security Checks	2020/4/24	2024/3/14	high
136197	CentOS 7：git (CESA-2020: 1511)	Nessus	CentOS Local Security Checks	2020/5/1	2020/6/5	high
135499	Debian DSA-4657-1：git - 安全性更新	Nessus	Debian Local Security Checks	2020/4/15	2020/4/27	high
135594	Amazon Linux 2：git (ALAS-2020-1409)	Nessus	Amazon Linux Local Security Checks	2020/4/16	2020/4/27	high
135875	RHEL 8：git (RHSA-2020: 1513)	Nessus	Red Hat Local Security Checks	2020/4/22	2024/4/28	high
143890	NewStart CGSL CORE 5.05 / MAIN 5.05：git 多個弱點 (NS-SA-2020-0113)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2020/12/10	high
170323	RHEL 7：rh-git218-git (RHSA-2020: 1503)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/6/4	high
135576	Slackware 14.0 / 14.1 / 14.2 / 最新版本：git (SSA:2020-105-01)	Nessus	Slackware Local Security Checks	2020/4/15	2020/4/27	high
135596	Debian DLA-2177-1：git 安全性更新	Nessus	Debian Local Security Checks	2020/4/16	2021/1/11	high
135710	Amazon Linux AMI：git (ALAS-2020-1357)	Nessus	Amazon Linux Local Security Checks	2020/4/17	2020/4/27	high
135862	RHEL 8：git (RHSA-2020: 1518)	Nessus	Red Hat Local Security Checks	2020/4/21	2024/4/28	high
135886	Scientific Linux 安全性更新：SL7.x x86_64 上的 git (20200421)	Nessus	Scientific Linux Local Security Checks	2020/4/22	2020/4/27	high
143893	NewStart CGSL CORE 5.04 / MAIN 5.04：git 多個弱點 (NS-SA-2020-0075)	Nessus	NewStart CGSL Local Security Checks	2020/12/9	2020/12/10	high
135949	GLSA-202004-13：Git：資訊洩漏	Nessus	Gentoo Local Security Checks	2020/4/24	2024/3/14	high
139093	Amazon Linux AMI：git (ALAS-2020-1413)	Nessus	Amazon Linux Local Security Checks	2020/7/30	2024/2/27	high
146004	CentOS 8：git (CESA-2020: 1513)	Nessus	CentOS Local Security Checks	2021/2/1	2021/3/23	high
135954	Oracle Linux 8：git (ELSA-2020-1513)	Nessus	Oracle Linux Local Security Checks	2020/4/24	2024/3/14	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high