CVE-2018-11235

CVE-2018-11235

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar git+ Monitorar git

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

15Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 47%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
7 produtos
JBoss Developer Studio 11 · Red Hat OpenShift Container Platform 3.2 · Red Hat OpenShift Container Platform 3.3 · Red Hat OpenShift Container Platform 3.4 · Red Hat OpenShift Container Platform 3.5 · e outros 2
workaround: Don't create OCP source-to-image applications from source code repositories hosted by untrusted parties. Github is blocking users from pushing repositories with malicious submodules so it's less likely you can pull a malicious repository from…
Corrigido
16 produtos (252 componentes)
Red Hat Enterprise Linux Server Optional (v. 7) · Red Hat Enterprise Linux for ARM and IBM Power LE (POWER9) Server Optional (v. 7) · Red Hat Enterprise Linux Client Optional (v. 7) · Red Hat Enterprise Linux ComputeNode Optional (v. 7) · Red Hat Software Collections for Red Hat Enterprise Linux Server (v. 6) · e outros 11
correção ↗
Não afetado
16 produtos (62 componentes) — porque o código vulnerável não está presente no produto
Red Hat OpenShift Enterprise 3 · Red Hat Enterprise Linux 8 · Red Hat Enterprise Linux 6 · Red Hat Enterprise Linux Atomic Host 7 · Red Hat Fuse 7 · e outros 11
In Git before 2.13.7, 2.14.x before 2.14.4, 2.15.x before 2.15.2, 2.16.x before 2.16.4, and 2.17.x before 2.17.1, remote code execution can occur. With a crafted .gitmodules file, a malicious project can execute an arbitrary script on a machine that runs "git clone --recurse-submodules" because submodule "names" are obtained from this file, and then appended to $GIT_DIR/modules, leading to directory traversal with "../" in a name. Finally, post-checkout hooks from a submodule are executed, bypassing the intended design in which hooks are not obtained from a remote server.
Produtos afetados
n/a · n/a