powerline-gitstatus <1.3.2 存在任意代码执行漏洞
漏洞描述
powerline-gitstatus 是一个用于显示 Git 工作副本状态的powerline。
powerline-gitstatu 在1.3.2之前的版本中存在任意代码执行漏洞，由于 powerline-gitstatus 切换到目录中会自动运行 git 命令，当powerline-gitstatus在 shell 上启用并在系统上克隆恶意存储库时，攻击者可利用此漏洞引导用户将其当前目录更改为由攻击者控制的目录，进而运行任意恶意命令。
| 漏洞名称 | powerline-gitstatus <1.3.2 存在任意代码执行漏洞 |
|---|---|
| 漏洞类型 | 代码注入 |
| 发现时间 | 2022-10-13 |
| 漏洞影响广度 | 极小 |
| MPS编号 | MPS-2022-59750 |
| CVE编号 | CVE-2022-42906 |
| CNVD编号 | - |
影响范围
powerline-gitstatus@[1.0.0, 1.3.2)
修复方案
将组件 powerline-gitstatus 升级至 1.3.2 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-59750
https://nvd.nist.gov/vuln/detail/CVE-2022-42906
https://github.com/jaspernbrouwer/powerline-gitstatus/issues/45
https://github.com/jaspernbrouwer/powerline-gitstatus
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
