TortoiseSVN远程代码执行缝隙安全公告

颁布功夫 2019-08-15

? 缝隙编号和级别


CVE编号：CVE-2019-14422，，，危险级别：高危，，，CVSS分值：厂商自评：8.8，，，官方未评定


? 影响版本


受影响的版本


TortoiseSVN Version <= 1.12.1


? 缝隙概述


TortoiseSVN是Subversion版本节制系统的一个免费开源客户端，，，能够超过功夫的治理文件和目录。


该缝隙源于TortoiseSVN的URI处置法式(Tsvncmd)允许在Excel工作簿上进行定制的diff操作，，，该操作可能被用于在不受宏安全设置�；；；さ那榭鱿麓蚩冻坦ぷ鞑�，，，从而造成肆意代码执行。攻击者可能通过在网络驱动器中放入宏病毒来利用这一点，，，迫使受害者打开工作簿并执行其中的宏病毒。该缝隙能够通过用web浏览器接见一个出格设计的URL来触发。


? 缝隙验证


EXP: https://cxsecurity.com/issue/WLB-2019080055。


? 修复建议


目前，，，官方已颁布了修复该缝隙的最新版 v1.12.2，，，建议尽快下载升级。官方下载链接：


https://tortoisesvn.net/downloads.zh.html。


? 参考链接


https://seclists.org/fulldisclosure/2019/Aug/7