TortoiseSVN远程代码执行误差清静通告

宣布时间 2019-08-15

? 误差编号和级别


CVE编号：CVE-2019-14422，，，，危险级别：高危，，，，CVSS分值：厂商自评：8.8，，，，官方未评定


? 影响版本


受影响的版本


TortoiseSVN Version <= 1.12.1


? 误差概述


TortoiseSVN是Subversion版本控制系统的一个免费开源客户端，，，，可以逾越时间的治理文件和目录。。。。。。。。


该误差源于TortoiseSVN的URI处置惩罚程序(Tsvncmd)允许在Excel事情簿上举行定制的diff操作，，，，该操作可能被用于在不受宏清静设置�；； ；；；；；；さ那樾蜗路冻淌虑椴荆�，从而造成恣意代码执行。。。。。。。。攻击者可能通过在网络驱动器中放入宏病毒来使用这一点，，，，迫使受害者翻开事情簿并执行其中的宏病毒。。。。。。。。该误差可以通过用web浏览器会见一个特殊设计的URL来触发。。。。。。。。


? 误差验证


EXP: https://cxsecurity.com/issue/WLB-2019080055。。。。。。。。


? 修复建议


现在，，，，官方已宣布了修复该误差的最新版 v1.12.2，，，，建议尽快下载升级。。。。。。。。官方下载链接：


https://tortoisesvn.net/downloads.zh.html。。。。。。。。


? 参考链接


https://seclists.org/fulldisclosure/2019/Aug/7