Dulwich Arbitrary code execution via commit with directory path starting with .git

高 7.5CVE-2014-9706 · GHSA-4j5j-58j7-6c3w · PYSEC-2015-34 · 31/03/2015 公開 · 17/06/2026 更新

要点

CVE-2014-9706 は dulwich, dulwich (dulwich project) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：5.0%（全脆弱性の 92.3% より高い）。
対処：0.9.10, 0.9.9 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
dulwich PyPI	`< 0.9.10< 0.9.9`	`0.9.100.9.9`
dulwich dulwich_project	`≤ 0.9.8`	修正版なし

概要

The build_index_from_tree function in index.py in Dulwich versions 0.9.9 and below allows remote attackers to execute arbitrary code via a commit with a directory path starting with .git/, which is not properly handled when checking out a working tree.

NVD の説明

The build_index_from_tree function in index.py in Dulwich before 0.9.9 allows remote attackers to execute arbitrary code via a commit with a directory path starting with .git/, which is not properly handled when checking out a working tree.