CVE-2018-11235
The MITRE CVE dictionary describes this issue as:
Find out more about CVE-2018-11235 from the MITRE CVE dictionary dictionary and NIST NVD.
Statement
Openshift Container Platform (OCP) にはこの脆弱性の対象となるコードは含まれていませんが、OCP は、Red Hat Enterprise Linux (RHEL) または Red Hat Atomic Host (Atomic Host) から 'git' バイナリを使用します。OCP ユーザーは 最新バージョンの OCP にアップグレードする必要があります。アップグレードバージョンでは、'git' バイナリが利用可能になり次第、これを更新します。
この問題は、Red Hat Enterprise Linux 6 に同梱されている git のバージョンには影響しません。脆弱性の対象となるコードが含まれていないためです。
CVSS v3 metrics
| CVSS3 Base Score | 8.8 |
|---|---|
| CVSS3 Base Metrics | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | Required |
| Scope | Unchanged |
| Confidentiality | High |
| Integrity Impact | High |
| Availability Impact | High |
Red Hat Security Errata
| Platform | Errata | Release Date |
|---|---|---|
| Red Hat Enterprise Linux 7 (git) | RHSA-2018:1957 | 2018-06-21 |
Affected Packages State
| Platform | Package | State |
|---|---|---|
| Red Hat Software Collections for Red Hat Enterprise Linux | rh-git29-git | 影響あり |
| Red Hat OpenShift Enterprise 3 | source-to-image | 影響なし |
| Red Hat OpenShift Enterprise 3 | atomic-openshift | 影響なし |
| Red Hat Mobile Application Platform On-Premise 4 | fh-scm | 影響なし |
| Red Hat JBoss Fuse Service Works 6 | jgit | 影響なし |
| Red Hat JBoss Fuse 7 | camel | 影響なし |
| Red Hat JBoss Fuse 6 | camel | 影響なし |
| Red Hat JBoss Data Virtualization 6 | jgit | 影響なし |
| Red Hat JBoss BRMS 6 | jgit | 影響なし |
| Red Hat JBoss A-MQ 6 | jgit | 影響なし |
| Red Hat Enterprise Linux 6 | git | 影響なし |
Mitigation
Don't create OCP source-to-image applications from source code repositories hosted by untrusted parties. Github is blocking users from pushing repositories with malicious submodules so it's less likely you can pull a malicious repository from there which triggers this vulnerability.
External References
CVE description copyright © 2017, The MITRE Corporation