程序猿(媛)们注意啦！Git、SVN、Mercurial版本控制系统被爆远程命令执行漏洞

近日，三款主流的源版本控制系统git、subversion (svn)、mercurial，发布了更新补丁，修复了一个客户端代码执行漏洞。

恶意的攻击者可以向受害者发送一条精心构造的ssh:// url链接，当受害者访问这条url则会触发漏洞导致执行恶意代码。

该漏洞由gitlab的brian neel，recurity labs的joan schneeweiss和github的jeff king发现和报告。具体详情如下:

漏洞编号:

git: cve-2017-1000117

apache subversion: cve-2017-9800

mercurial: cve-2017-1000116

漏洞名称:

git、apache subversion(svn)、mercurial版本控制系统被爆远程命令执行漏洞

官方评级:

高危

漏洞描述:

攻击者通过精心构造一个"ssh://..."url链接发送给受害者，如果受害者访问了这个url，则会导致恶意指令在客户端执行，从而获取主机权限。

漏洞利用条件和方式:

远程钓鱼利用

漏洞影响范围:

gitlab：

v2.7.6

v2.8.6

v2.9.5

v2.10.4

v2.11.3

v2.12.4

v2.13.5

apache subversion：

apache subversion clients 1.0.0 through 1.8.18 (inclusive)

apache subversion clients 1.9.0 through 1.9.6 (inclusive)

apache subversion client 1.10.0-alpha3

mercurial:

小于4.3版本

漏洞检测:

检查是否使用受影响范围内的版本

漏洞修复建议(或缓解措施):

git:升级到git v2.14.1版本

apache subversion:升级到subversion 1.8.19、subversion 1.9.7版本

mercurial:升级到mercurial 4.3 and 4.2.3.版本

情报来源: