B45/100
脆弱性 · 高
Git for Windows v2.56.1公開 6件の脆弱性を修正
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： Git for Windowsを利用するWindows環境の開発者
ティアBの理由： 完全な乗っ取り または シークレットの流出 または サプライチェーン
影響範囲
攻撃
被害
修正
基幹インフラ · 人気ツール · 完全な乗っ取り
取るべき対応
- Git for Windowsをv2.56.1へ更新する
- 本家Gitを利用している場合は、修正版のv2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2のいずれかへ更新する
要点
- 「Git for Windows」v2.56.1が11月11日（日本時間）に公開された
- ベースの「Git」に見つかった6件の脆弱性に対処したセキュリティアップデートである
- 脆弱性により任意コード実行のおそれがあるとされる
なぜ重要か
Git for Windowsを利用する開発者は、脆弱性への対策としてv2.56.1への更新を検討する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中4項目が「はい」
| はい | 開発者に影響 | 開発者が使うWindows向けGitを対象とした更新であるため |
| はい | 基幹インフラ | Gitはほぼすべての開発チームが使う基盤的なバージョン管理ツールであるため |
| はい | 人気ツール | Git for Windowsは多くの開発者が使う一般的な開発ツールであるため |
| いいえ | 悪用確認済み | forest.watch.impress.co.jp: 6件の脆弱性を修正したと報じるのみで、悪用の報告はない |
| いいえ | 公開エクスプロイト | forest.watch.impress.co.jp: 脆弱性の修正が中心で、公開された攻撃コードへの言及はない |
| いいえ | 認証不要のリモート攻撃 | forest.watch.impress.co.jp: 攻撃条件やネットワーク経由の悪用可否についての記述はない |
| はい | 完全な乗っ取り | forest.watch.impress.co.jp: 「任意コード実行のおそれも」あると報じられている |
| いいえ | シークレットの流出 | forest.watch.impress.co.jp: 情報漏えいや認証情報の流出についての記述はない |
| いいえ | サプライチェーン | forest.watch.impress.co.jp: 悪意あるコードの配布や正規パッケージの侵害についての記述はない |
| いいえ | 修正なし | forest.watch.impress.co.jp: v2.56.1で修正済みと報じられている |
タイムライン
Git for Windows v2.56.1を公開し、6件の脆弱性を修正
forest.watch.impress.co.jp
「Git for Windows」v2.56.1が公開 ～6件の脆弱性を修正、任意コード実行のおそれも／本家Gitのv2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2にも修正
出典
「Git for Windows」v2.56.1が公開 ～6件の脆弱性を修正、任意コード実行のおそれも／本家Gitのv2.55.1、v2.54.1、v2.53.1、v2.52.1、v2.51.3、v2.50.2にも修正 ↗ forest.watch.impress.co.jp · 58分前