CVE-2023-23946
14.02.2023, 20:15
Git, a revision control system, is vulnerable to path traversal prior to versions 2.39.2, 2.38.4, 2.37.6, 2.36.5, 2.35.7, 2.34.7, 2.33.7, 2.32.6, 2.31.7, and 2.30.8. By feeding a crafted input to `git apply`, a path outside the working tree can be overwritten as the user who is running `git apply`. A fix has been prepared and will appear in v2.39.2, v2.38.4, v2.37.6, v2.36.5, v2.35.7, v2.34.7, v2.33.7, v2.32.6, v2.31.7, and v2.30.8. As a workaround, use `git apply --stat` to inspect a patch before applying; avoid applying one that creates a symbolic link and then creates a file beyond the symbolic link.
Affected Products (NVD)
| Vendor | Product | Version |
|---|---|---|
| git-scm | git | 𝑥 < 2.30.8 |
| git-scm | git | 2.31.0 ≤ 𝑥 < 2.31.7 |
| git-scm | git | 2.32.0 ≤ 𝑥 < 2.32.6 |
| git-scm | git | 2.33.0 ≤ 𝑥 < 2.33.7 |
| git-scm | git | 2.34.0 ≤ 𝑥 < 2.34.7 |
| git-scm | git | 2.35.0 ≤ 𝑥 < 2.35.7 |
| git-scm | git | 2.36.0 ≤ 𝑥 < 2.36.5 |
| git-scm | git | 2.37.0 ≤ 𝑥 < 2.37.6 |
| git-scm | git | 2.38.0 ≤ 𝑥 < 2.38.4 |
| git-scm | git | 2.39.0 ≤ 𝑥 < 2.39.2 |
𝑥
= Vulnerable software versions
Early Detection
Affected products identified ahead of NVD analysis through intelligence sources.
| Vendor | Product | Version | Source |
|---|---|---|---|
| git | git | 𝑥 < 2.30.8 | CNA |
Debian Releases
Ubuntu Releases
openSUSE / SLES Releases
openSUSE Product | |||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| git |
| ||||||||||||||||||||||||||||||||||||||||||
| git-arch |
| ||||||||||||||||||||||||||||||||||||||||||
| git-core |
| ||||||||||||||||||||||||||||||||||||||||||
| git-cvs |
| ||||||||||||||||||||||||||||||||||||||||||
| git-daemon |
| ||||||||||||||||||||||||||||||||||||||||||
| git-doc |
| ||||||||||||||||||||||||||||||||||||||||||
| git-email |
| ||||||||||||||||||||||||||||||||||||||||||
| git-gui |
| ||||||||||||||||||||||||||||||||||||||||||
| git-svn |
| ||||||||||||||||||||||||||||||||||||||||||
| git-web |
| ||||||||||||||||||||||||||||||||||||||||||
| gitk |
| ||||||||||||||||||||||||||||||||||||||||||
| perl-Git |
|
Red Hat Enterprise Linux Releases
Red Hat Product | |||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| git |
| ||||||||||||||||||||
| git-all |
| ||||||||||||||||||||
| git-core |
| ||||||||||||||||||||
| git-core-doc |
| ||||||||||||||||||||
| git-credential-libsecret |
| ||||||||||||||||||||
| git-daemon |
| ||||||||||||||||||||
| git-email |
| ||||||||||||||||||||
| git-gui |
| ||||||||||||||||||||
| git-instaweb |
| ||||||||||||||||||||
| git-subtree |
| ||||||||||||||||||||
| git-svn |
| ||||||||||||||||||||
| gitk |
| ||||||||||||||||||||
| gitweb |
| ||||||||||||||||||||
| perl-Git |
| ||||||||||||||||||||
| perl-Git-SVN |
|
References