Vulnerabilidad en Git (CVE-2017-15298)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
14/10/2017
Última modificación:
20/04/2025
Descripción
Git, en versiones hasta la 2.14.2 gestiona de manera incorrecta capas de objetos tipo árbol, lo que permite que atacantes remotos provoquen una denegación de servicio (consumo de memoria) mediante un repositorio manipulado. Esto también se conoce como bombas Git (Git bomb). Esto también puede causar un impacto de consumo de disco; sin embargo, un proceso afectado normalmente no sobreviviría a este intento de construir la estructura de datos en la memoria antes de escribir en el disco.
Impacto
Puntuación base 3.x
5.50
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:git-scm:git:*:*:*:*:*:*:*:* | 2.14.2 (incluyendo) | |
| cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:18.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:18.10:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00003.html
- https://github.com/Katee/git-bomb
- https://kate.io/blog/git-bomb/
- https://usn.ubuntu.com/3829-1/
- http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00003.html
- https://github.com/Katee/git-bomb
- https://kate.io/blog/git-bomb/
- https://usn.ubuntu.com/3829-1/