{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Git de la branche 2.16 jusqu'\u00e0 2.16.5 (exclue)","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Git de la branche 2.17 jusqu'\u00e0 2.17.2 (exclue)","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Git branche ant\u00e9rieure \u00e0 2.14.5","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Git de la branche 2.15 jusqu'\u00e0 2.15.3 (exclue)","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Git de la branche 2.18 jusqu'\u00e0 2.18.1 (exclue)","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Git de la branche 2.19 jusqu'\u00e0 2.19.1 (exclue)","product":{"name":"Git","vendor":{"name":"Git","scada":false}}},{"description":"Client tierces (Github, Atom...) : voir les sites des d\u00e9veloppeurs","product":{"name":"Git","vendor":{"name":"Git","scada":false}}}],"affected_systems_content":"","closed_at":"2018-10-12","content":"## Solution\n\nLe CERT-FR recommande de mettre \u00e0 jour son client Git sans attendre.\n","cves":[{"name":"CVE-2018-17456","url":"https://www.cve.org/CVERecord?id=CVE-2018-17456"}],"links":[{"title":"Soumission Git 1a7fd1fb","url":"https://github.com/git/git/commit/1a7fd1fb2998002da6e9ff2ee46e1bdd25ee8404"},{"title":"Soumission Git a124133e","url":"https://github.com/git/git/commit/a124133e1e6ab5c7a9fef6d0e6bcb084e3455b46"}],"reference":"CERTFR-2018-ALE-011","revisions":[{"description":"Version initiale","revision_date":"2018-10-08T00:00:00.000000"},{"description":"Cl\u00f4ture de l'alerte.","revision_date":"2018-10-12T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"Le 5 octobre 2018, le projet Git a publi\u00e9 un correctif de s\u00e9curit\u00e9\nconcernant le client Git. Celui-ci concerne la vuln\u00e9rabilit\u00e9\nCVE-2018-17456 qui permet \u00e0 un attaquant d'ex\u00e9cuter du code arbitraire \u00e0\ndistance.\n\nLa cin\u00e9matique d'exploitation de cette vuln\u00e9rabilit\u00e9 est la suivante :\n\n-   L'attaquant cr\u00e9e un fichier \".gitmodules\" malveillant dans un projet\n-   Lors de la r\u00e9plication d'un projet via la commande \"git clone\n    --recurse-modules\", le client Git analyse le fichier \".gitmodules\"\n-   Si le champ \"URL\" est une cha\u00eene de caract\u00e8re commen\u00e7ant par un\n    tiret (\"-\"), le sous-processus \"git clone\" ex\u00e9cutera la cha\u00eene comme\n    une option\n\nCela conduit \u00e0 une ex\u00e9cution de code arbitraire \u00e0 distance sur la\nmachine d'un utilisateur ayant lanc\u00e9 une simple commande \"git clone\". La\nfacilit\u00e9 d'exploitation de cette vuln\u00e9rabilit\u00e9 constitue un risque\nmajeur.\n\nIl est par ailleurs possible d'avoir un comportement non-voulu (chemin\nbris\u00e9) en d\u00e9finissant le champ \"PATH\" comme une cha\u00eene de caract\u00e8re\ncommen\u00e7ant par un tiret (\"-\"). Ce champ ne semble pas \u00eatre affect\u00e9 par\nla vuln\u00e9rabilit\u00e9 au sens de l'ex\u00e9cution de code mais peut provoquer des\ndysfonctionnements lors du clonage de projets.\n","title":"Vuln\u00e9rabilit\u00e9 dans le client Git","vendor_advisories":[{"published_at":"2018-10-08","title":"Annonce Git","url":"https://marc.info/?l=git&m=153875888916397&w=2"}]}