CVE-2018-11235

CVE-2018-11235

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear git+ Monitorear git

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

15Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 47%
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
7 productos
JBoss Developer Studio 11 · Red Hat OpenShift Container Platform 3.2 · Red Hat OpenShift Container Platform 3.3 · Red Hat OpenShift Container Platform 3.4 · Red Hat OpenShift Container Platform 3.5 · y otros 2
workaround: Don't create OCP source-to-image applications from source code repositories hosted by untrusted parties. Github is blocking users from pushing repositories with malicious submodules so it's less likely you can pull a malicious repository from…
Corregido
16 productos (252 componentes)
Red Hat Enterprise Linux Server Optional (v. 7) · Red Hat Enterprise Linux for ARM and IBM Power LE (POWER9) Server Optional (v. 7) · Red Hat Enterprise Linux Client Optional (v. 7) · Red Hat Enterprise Linux ComputeNode Optional (v. 7) · Red Hat Software Collections for Red Hat Enterprise Linux Server (v. 6) · y otros 11
corrección ↗
No afectado
16 productos (62 componentes) — porque el código vulnerable no está presente en el producto
Red Hat OpenShift Enterprise 3 · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux Atomic Host 7 · Red Hat Fuse 7 · y otros 11
In Git before 2.13.7, 2.14.x before 2.14.4, 2.15.x before 2.15.2, 2.16.x before 2.16.4, and 2.17.x before 2.17.1, remote code execution can occur. With a crafted .gitmodules file, a malicious project can execute an arbitrary script on a machine that runs "git clone --recurse-submodules" because submodule "names" are obtained from this file, and then appended to $GIT_DIR/modules, leading to directory traversal with "../" in a name. Finally, post-checkout hooks from a submodule are executed, bypassing the intended design in which hooks are not obtained from a remote server.
Productos afectados
n/a · n/a