てきとうなメモスマートフォン用の表示で見るてきとうなメモ本の感想とか技術メモとかこの広告は、90日以上更新していないブログに表示しています。...となって、gnome-calculatorが実行されてしまうという話。submoduleの.gitmodulesに記述することができるので、URLを用いてだけではなく、1コミットがこのような内容を含んでいれば攻撃できてしまう。いえ、lfsやsubmoduleを設定するコミットは大きな変更なので、通常はしっかりチェックされるだろうけど。2004年ぐらいにMacのSafariのURLハンドラの脆弱性として似たようなものはあったそうな。option.で、調べてみると、gitだけではなくsvnやmercurialにも同様の脆弱性があったそうな。redirect.svnの場合はhttp→sshへのリダイレクトも通してしまうようなので、これは怖いな。修正はgitやsvnやmercurialは"-"で始まるホスト名を弾くというもの。gitは2.1.14.1で修正。now.このコミットとかかな。looks_like_command_line_optionで"-"始まりのホスト名をチェックし弾くようにしている。952において、ホスト名は"-"で始まってはならないとしている。<let>[*[<let-or-digit-or-hyphen>]<let-or-digit>]hnameがホスト名。最初はlet(letter)でないといけない。svnも1.9.7で修正。svn:sync-from-urlhttp://subversion.apache.org/security/CVE-2017-9800-advisory.txtここにパッチが記述されている。is_valid_hostinfoで"-"始まりのホスト名を弾いている。mercurialは4.3.1で修正されている。installed.このファイルのchecksafesshでチェックされている。(path,))git-lfsは2.1.1で修正されている。thatstring.このプルリクかな。GitHub他のソフトの修正とは異なり、"-"を弾かずに"--"を追加して、オプションの引数は終了したとsshクライアントに明示するようにしている。7.3がリリースされて、CVE-2016-6210が修正されたそう...2016-05-08ImageMagickの脆弱性(ImageTragick)piyokangoさんが詳しいが自分も少し調べたので。メモ月別アーカイブはてなブログをはじめよう!bosconoさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。