CVE-2017-1000117

high · 8.8

A malicious third-party can give a crafted "ssh://..." URL to an unsuspecting victim, and an attempt to visit the URL can result in any program that exists on the victim's machine being executed. Such a URL could be placed in the .gitmodules file of a malicious project, and an unsuspecting victim could be tricked into running "git clone --recurse-submodules" to trigger the vulnerability.

8.8

CVSS

77.8%

EPSS (exploit prob.)

100th

EPSS percentile

2017-10-05

Published

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Weaknesses

CWE-601

Affected products

Vendor	Product	Affected versions
git-scm	git	<= 2.7.5
git-scm	git	2.8.0
git-scm	git	2.8.0
git-scm	git	2.8.0
git-scm	git	2.8.0
git-scm	git	2.8.0
git-scm	git	2.8.1
git-scm	git	2.8.2
git-scm	git	2.8.3
git-scm	git	2.8.4
git-scm	git	2.8.5
git-scm	git	2.9.0
git-scm	git	2.9.0
git-scm	git	2.9.0
git-scm	git	2.9.0
git-scm	git	2.9.1
git-scm	git	2.9.2
git-scm	git	2.9.3
git-scm	git	2.9.4
git-scm	git	2.10.0
git-scm	git	2.10.0
git-scm	git	2.10.0
git-scm	git	2.10.0
git-scm	git	2.10.1
git-scm	git	2.10.2
git-scm	git	2.10.3
git-scm	git	2.11.0
git-scm	git	2.11.0
git-scm	git	2.11.0
git-scm	git	2.11.0
git-scm	git	2.11.0
git-scm	git	2.11.1
git-scm	git	2.11.2
git-scm	git	2.12.0
git-scm	git	2.12.0
git-scm	git	2.12.0
git-scm	git	2.12.0
git-scm	git	2.12.1
git-scm	git	2.12.2
git-scm	git	2.12.3

Check a specific version with /api/v1/cve/match.

References

Query this programmatically:

curl https://evil-db.io/api/v1/cve/CVE-2017-1000117