Microsoft beschreibt eine Git-Sicherheitslücke, die beim rekursiven Klonen manipulierter Repositorys Code ausführen kann. CVE-2018-11235 betrifft Submodule mit eingebetteten Repository-Daten und präparierten Hooks. Der Bericht erschien am 29. Mai 2018 nach US-Datierung.
Normalerweise werden lokale Konfiguration und Hooks nicht vom Server geklont. Beim beschriebenen Angriff waren die Submodul-Daten jedoch bereits im übergeordneten Repository enthalten. Git konnte sie beim Auschecken übernehmen und den vorhandenen post-checkout-Hook ausführen.
Git 2.17.1 und aktualisierte Windows-Werkzeuge
Die Release Notes für Git 2.17.1 nennen Korrekturen für CVE-2018-11235 und CVE-2018-11233. Auch die Reihen 2.13 bis 2.16 erhielten Updates. Die Detailhinweise zu Git 2.13.7 beschreiben die Prüfung nicht vertrauenswürdiger Submodulnamen.
Microsoft nennt Git for Windows 2.17.1(2) sowie Visual Studio 2017 in den Versionen 15.7.3 und 15.0.14 als korrigierte Windows-Ausgaben. VSTS blockiert zusätzlich das Hochladen entsprechend manipulierter Repositorys.
Für automatisierte Build-Systeme ist insbesondere das rekursive Auschecken fremder Repositorys relevant. Die Sicherheitskorrekturen sind unabhängig vom kurz zuvor angekündigten Git Wire Protocol v2 für effizientere Abrufe.