Several vulnerabilities have been discovered in git, a fast, scalable, distributed revision control system.

  - CVE-2019-1348     It was reported that the --export-marks option of git     fast-import is exposed also via the in-stream command     feature export-marks=..., allowing to overwrite     arbitrary paths.

  - CVE-2019-1387     It was discovered that submodule names are not validated     strictly enough, allowing very targeted attacks via     remote code execution when performing recursive clones.

  - CVE-2019-19604     Joern Schneeweisz reported a vulnerability, where a     recursive clone followed by a submodule update could     execute code contained within the repository without the     user explicitly having asked for that. It is now     disallowed for `.gitmodules` to have entries that set     `submodule.<name>.update=!command`.

In addition this update addresses a number of security issues which are only an issue if git is operating on an NTFS filesystem (CVE-2019-1349, CVE-2019-1352 and CVE-2019-1353 ).

The remote host is affected by the vulnerability described in GLSA-202003-42 (libgit2: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in libgit2. Please review       the CVE identifiers referenced below for details.
  Impact :

    An attacker could possibly overwrite arbitrary paths, execute arbitrary       code, and overwrite files in the .git directory.
  Workaround :

    There is no known workaround at this time.

The remote CentOS Linux 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2020:0124 advisory.

  - An issue was found in Git before v2.24.1, v2.23.1, v2.22.2, v2.21.1, v2.20.2, v2.19.3, v2.18.2, v2.17.3,     v2.16.6, v2.15.4, and v2.14.6. Recursive clones are currently affected by a vulnerability that is caused     by too-lax validation of submodule names, allowing very targeted attacks via remote code execution in     recursive clones. (CVE-2019-1387)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote CentOS Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the CESA-2019:4356 advisory.

  - git: Arbitrary path overwriting via export-marks in-stream command feature (CVE-2019-1348)

  - git: Recursive submodule cloning allows using git directory twice with synonymous directory name written     in .git/ (CVE-2019-1349)

  - git: Files inside the .git directory may be overwritten during cloning via NTFS Alternate Data Streams     (CVE-2019-1352)

  - git: Remote code execution in recursive clones with nested submodules (CVE-2019-1387)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

An update of the git package has been released.

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020:0124 公告中提及的漏洞的影响。

  - git：含有嵌套子模块递归克隆中的远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 7 主机上安装的多个程序包受到 RHSA-2020:0124 公告中提及的一个漏洞影响。

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前版本的 Git 中发现了一个问题。目前，递归克隆受到一个漏洞的影响，原因是对子模块名称的验证过于松散，导致可以在递归克隆中通过远程代码执行进行非常有针对性的攻击。(CVE-2019-1387)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在快速且可扩展的分布式版本控制系统 git 中发现多个漏洞。

  - CVE-2019-1348 报告称，git 快速导入的 --export-marks 选项也会通过流内命令功能 export-marks=... 暴露出漏洞，允许覆写任意路径。

  - CVE-2019-1387 发现未对子模块名称进行足够严格的验证，从而导致在执行递归克隆时可以通过远程代码执行有针对性的攻击。

  - CVE-2019-19604 Joern Schneeweisz 报告了一个漏洞，即在子模块更新之后执行递归克隆，这可能会在用户未明确要求的情况下执行存储库中的代码。“.gitmodules”现在不允许包含设置“submodule.<name>.update=!command”的条目。

此外，此更新还解决了许多安全问题，但只有 git 在 NTFS 文件系统上（CVE-2019-1349、CVE-2019-1352 和 CVE-2019-1353）运行时，这些问题才会存在。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 0228 公告中提及的多个漏洞的影响。

  - git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348)

  - git：递归子模块克隆允许使用 git 目录两次，并以 .git/ 编写同义目录名称 (CVE-2019-1349)

  - git：.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

  - git：含有嵌套子模块的递归克隆中存在远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202003-42 中所述漏洞的影响（libgit2：多个漏洞）

    已在 libgit2 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    攻击者可能覆写任意路径、执行任意代码，以及覆写 .git 目录中的文件。
  变通方案：

    目前无任何已知的变通方案。

运行 CORE 5.05/MAIN 5.05 版本的远程 NewStart CGSL 主机上安装的 git 程序包受到多个漏洞的影响：

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前版本的 Git 中发现了一个问题。目前，递归克隆受到一个漏洞的影响，原因是对子模块名称的验证过于松散，导致可以在递归克隆中通过远程代码执行进行非常有针对性的攻击。(CVE-2019-1387)

  - 受影响的 Git 版本中存在漏洞，可诱骗 Git 向攻击者控制的主机发送私有凭据。Git 使用外部“凭据帮助程序”来存储和检索操作系统提供的安全存储中的密码或其他凭据。包含已编码换行符的特别构建的 URL 可将非预期值注入凭据帮助程序协议流，使凭据帮助程序返回将包含在发送给一台服务器（例如，evil.example.com）的 HTTP 请求中的另一台服务器（例如，good.example.com）的密码，从而导致后者的凭据被发送给前者。两者之间的关系不存在任何限制，这表示攻击者可构建一个将任何主机的已存储凭据提供给其所选主机的 URL。此漏洞可通过向“git clone”馈送恶意 URL 触发。但是，受影响的 URL 看起来相当可疑；可能的途径是会自动克隆对用户不可见的 URL 的系统（例如 Git 子模块），或是围绕 Git 构建的程序包系统。已在 v2.17.x 到 2020 年 4 月 14 日发布的版本中修补此问题。想要进一步向后移植此更改的任何人都可以通过应用提交 9a6bbee（完整版本包含针对 git fsck 的额外检查，但该提交足以保护客户端不受此漏洞的影响）来实现该操作。已修补的版本包括：2.17.4、2.18.3、2.19.4、2.20.3、2.21.2、2.22.3、2.23.2、2.24.2、2.25.3、2.26.1。
    (CVE-2020-5260)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 4356 公告中提及的多个漏洞的影响。

  - git：通过 export-marks in-stream 命令功能的任意路径覆盖 (CVE-2019-1348)

  - git：递归子模块克隆允许使用 git 目录两次，并以 .git/ 编写同义目录名称 (CVE-2019-1349)

  - git：.git 目录中的文件在通过 NTFS 备用数据流克隆期间可能会被覆盖 (CVE-2019-1352)

  - git：含有嵌套子模块的递归克隆中存在远程代码执行 (CVE-2019-1387)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 git 版本低于 2.23.1-0。因此，它受到 ALAS2-2023-1943 公告中提及的多个漏洞影响。

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前的 Git 中发现问题。 git 快速导入的 --export-marks 选项也会通过 in-stream 命令功能 export-marks=... 显现，并且允许覆盖任意路径。(CVE-2019-1348)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1350、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1349)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1352、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1350)

  - Visual Studio 中的 Git 未正确处理虚拟驱动器路径时，存在篡改漏洞，即“Git for Visual Stud 篡改漏洞”。(CVE-2019-1351)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1354、CVE-2019-1387 不同。(CVE-2019-1352)

  - 在 Git 2.24.1、2.23.1、2.22.2、2.21.1、2.20.2、2.19.3、2.18.2、2.17.3、2.16.6、2.15.4 和 2.14.6 之前版本中发现一个问题。当在 Linux 版 Windows 子系统（也称为 WSL）中运行 Git 并访问常规 Windows 驱动程序上的工作目录时，没有任何 NTFS 保护工具处于活动状态。
    (CVE-2019-1353)

  - 当 Visual Studio 中的 Git 未正确审查输入时，存在一个远程代码执行漏洞，也称作“Git for Visual Studio 远程代码执行漏洞”。此 CVE ID 与 CVE-2019-1349、CVE-2019-1350、CVE-2019-1352、CVE-2019-1387 不同。(CVE-2019-1354)

  - 在 v2.24.1、v2.23.1、v2.22.2、v2.21.1、v2.20.2、v2.19.3、v2.18.2、v2.17.3、v2.16.6、v2.15.4 和 v2.14.6 之前版本的 Git 中发现了一个问题。目前，递归克隆受到一个漏洞的影响，原因是对子模块名称的验证过于松散，导致可以在递归克隆中通过远程代码执行进行非常有针对性的攻击。(CVE-2019-1387)

  - 由于“git submodule update”操作可运行恶意存储库的 .gitmodules 文件中发现的命令，因此 2.20.2 之前版本、2.21.1 之前的 2.21.x 版本、2.22.2 之前的 2.22.x 版本、2.23.1 之前的 2.23.x 版本和 2.24.1 之前的 2.24.x 版本 Git 中可能会存在任意命令执行。(CVE-2019-19604)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
131966	Debian DSA-4581-1 : git - security update	Nessus	Debian Local Security Checks	12/12/2019	4/4/2024	critical
134728	GLSA-202003-42 : libgit2: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	3/20/2020	3/21/2024	high
133100	CentOS 7 : git (RHSA-2020:0124)	Nessus	CentOS Local Security Checks	1/21/2020	10/9/2024	high
145577	CentOS 8 : git (CESA-2019:4356)	Nessus	CentOS Local Security Checks	1/29/2021	1/25/2024	high
252274	Photon OS 5.0: Git PHSA-2025-5.0-0590	Nessus	PhotonOS Local Security Checks	8/19/2025	8/23/2025	critical
133025	RHEL 7：git (RHSA-2020:0124)	Nessus	Red Hat Local Security Checks	1/17/2020	11/7/2024	high
133100	CentOS 7：git (RHSA-2020:0124)	Nessus	CentOS Local Security Checks	1/21/2020	10/9/2024	high
131966	Debian DSA-4581-1：git - 安全更新	Nessus	Debian Local Security Checks	12/12/2019	4/4/2024	critical
133281	RHEL 8：git (RHSA-2020: 0228)	Nessus	Red Hat Local Security Checks	1/28/2020	11/7/2024	high
134728	GLSA-202003-42：libgit2：多个漏洞	Nessus	Gentoo Local Security Checks	3/20/2020	3/21/2024	high
143890	NewStart CGSL CORE 5.05 / MAIN 5.05：git 多个漏洞 (NS-SA-2020-0113)	Nessus	NewStart CGSL Local Security Checks	12/9/2020	12/10/2020	high
145577	CentOS 8：git (CESA-2019: 4356)	Nessus	CentOS Local Security Checks	1/29/2021	1/25/2024	high
171819	Amazon Linux 2：git (ALAS-2023-1943)	Nessus	Amazon Linux Local Security Checks	2/23/2023	12/11/2024	critical

Detections

Analytics

Plugins Search

critical

high

high

high

critical

high

high

critical

high

high

high

high

critical