B46/100
脆弱性 · 高
Git 2.56.1で6件の脆弱性を修正 修正版を公開
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： Git for Windowsおよび本家Gitを利用する開発者の環境
ティアBの理由： 完全な乗っ取り または シークレットの流出 または サプライチェーン
影響範囲
攻撃
被害
修正
基幹インフラ · 人気ツール · 完全な乗っ取り
取るべき対応
- Git for Windowsをv2.56.1に更新する
- 本家Gitを利用している場合は、利用中の系統に対応する修正版（v2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2のいずれか）に更新する
要点
- 分散型バージョン管理システム「Git」のWindows版「Git for Windows」がv2.56.1に更新され、ベースのGitで見つかった6件の脆弱性に対処した
- 任意コード実行のおそれがある脆弱性も修正対象に含まれる
- 本家Gitでもv2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2で同様の修正が行われた
なぜ重要か
Gitを業務や個人開発で使う開発者は、任意コード実行のおそれがある脆弱性の修正を含むため、利用中の環境のバージョンを確認して早めに更新する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中4項目が「はい」
| はい | 開発者に影響 | 判断: Gitは開発者が日常的に使う開発ツールであるため |
| はい | 基幹インフラ | 判断: Gitはほぼすべての開発チームが利用する基盤的なソフトウェアであるため |
| はい | 人気ツール | 判断: Gitは広く使われる一般的な開発ツールであるため |
| いいえ | 悪用確認済み | インパクト: 両ソースとも悪用された攻撃の発生には触れていないため |
| いいえ | 公開エクスプロイト | CodeZine: 公開されたのは6件の脆弱性修正に関する情報のみで、エクスプロイトの公開は報じられていないため |
| いいえ | 認証不要のリモート攻撃 | 両ソースとも攻撃の前提条件や認証の要否には触れていないため |
| はい | 完全な乗っ取り | Impress Forest Watch: 脆弱性の一部について任意コード実行のおそれがあると報じているため |
| いいえ | シークレットの流出 | 両ソースとも認証情報や利用者データの流出には触れていないため |
| いいえ | サプライチェーン | 両ソースとも悪意あるコードの配布や正規パッケージの侵害には触れていないため |
| いいえ | 修正なし | Impress Forest Watch: v2.56.1や各バージョンで脆弱性に対処する修正版が公開されたと報じているため |
タイムライン
すべての報道 · ソース3件
- 8時間前 ↗
Security NEXT
「Git」に複数の脆弱性 - アップデートをリリース - 2日前 ↗
CodeZine:新着一覧
Git、6件のセキュリティ脆弱性を修正した「Git 2.56.1」をリリース - 3日前 ↗
forest.watch.impress.co.jp
「Git for Windows」v2.56.1が公開 ～6件の脆弱性を修正、任意コード実行のおそれも／本家Gitのv2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2にも修正