GitHub高危缝隙安全公告
颁布功夫 2018-10-08缝隙编号和级别
CVE编号：CVE-2018-17456，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定
影响版本
Atom蕴含了一样的嵌入式Git，，，，，，，，也受到了影响。。。。 。。。。版本1.31.2和1.32.0-beta3
缝隙概述
若是执行了特定的号令，，，，，，，，即“git clone --recurse-submodules”，，，，，，，，其软件中的缝隙允许在客户端平台上执行肆意代码。。。。 。。。。目前只有Unix平台受到了影响。。。。 。。。。
微软澄清了这个问题仅仅影响基于Unix的平台，，，，，，，，如Linux和macOS，，，，，，，，或合用于在Windows子系统Linux（WSL）的Linux刊行版中运行git的人。。。。 。。。。这是由于在利用缝隙时写入磁盘的文件名称中必要冒号，，，，，，，，并且由于Windows文件系统不支持冒号，，，，，，，，因而Git for Windows不会写入该文件。。。。 。。。。
GitHub.com和GitHub Enterprise都不会直接受此缝隙影响。。。。 。。。。但是，，，，，，，，与先前发现的缝隙一样，，，，，，，，GitHub.com将检测恶意存储库，，，，，，，，并回绝尝试创建它们的推送或API要求。。。。 。。。。拥有此检测职能的GitHub Enterprise将于10月9日颁布。。。。 。。。。
缝隙验证
此缝隙与CVE-2017-1000117极度类似，，，，，，，，由于它们都是与子�？？？？？？？橛泄氐难∠钭⑷牍セ�。。。。 。。。。在之前的攻击中，，，，，，，，恶意存储库会将一个.gitmodules文件发送到一个远程存储库，，，，，，，，其中一个子�？？？？？？？橐远袒摺�-”开头。。。。 。。。。由Git产生的ssh法式将把它诠释为一个选项。。。。 。。。。除了选项注入针对子git（child git）克隆它自己表，，，，，，，，此攻击以类似的方式进行。。。。 。。。。
建复建议
Atom通过实现以下任何一项，，，，，，，，确保使用的是最新Atom版本：
Windows：从工具栏中，，，，，，，，单击“援手” - >“查抄更新”
MacOS：从菜单栏中单击“Atom” - >“查抄更新”
Linux：通过从atom.io下载最新版本手动更新
参考链接
https://seclists.org/oss-sec/2018/q4/19
京公网安备11010802024551号