SUSE發布重要補丁：保護系統免受CVE-2025-21613攻擊
作者：跳舞的花栗鼠
該漏洞源于對URL字段的不當處理，為參數注入攻擊提供了可乘之機，進而危及系統完整性。受影響的Amazon SSM Agent已更新至3.3.1611.0版本，修復了此漏洞。
SUSE近日發布針對Amazon Systems Manager（SSM）Agent的重要安全更新，解決了“go-git”庫中的嚴重漏洞CVE-2025-21613。該漏洞可能允許攻擊者在特定情況下篡改git-upload-pack標志。
go-git是一個用純Go語言編寫的高度可擴展的Git實現庫。在v5.13之前的版本中，go-git被發現存在參數注入漏洞。攻擊者如果成功利用該漏洞，可以為git-upload-pack標志設置任意值。此問題僅在使用文件傳輸協議時出現，因為該協議是唯一調用Git二進制文件的協議。
安全更新的關鍵細節
該漏洞源于對URL字段的不當處理，為參數注入攻擊提供了可乘之機，進而危及系統完整性。受影響的Amazon SSM Agent已更新至3.3.1611.0版本，修復了此漏洞。更新后，系統能夠安全地處理輸入，降低了被利用的風險。
已發布軟件包列表：
受影響產品列表：
此更新適用于以下版本的SUSE Linux Enterprise產品：
- Public Cloud Module 12
- SUSE Linux Enterprise High Performance Computing：版本12 SP2至SP5
- SUSE Linux Enterprise Server：版本12、12 SP1至SP5
- SUSE Linux Enterprise Server for SAP Applications：版本12、12 SP1至SP5
更新說明
SUSE 建議使用 YaST 或zypper patch命令應用更新。具體操作如下：
(1) Public Cloud Module 12
zypper in -t patch SUSE-SLE-Module-Public-Cloud-12-2025-191=1更新完成后，請確保重啟所有依賴 Amazon SSM Agent 的服務或進程。
(2) Public Cloud Module 12（aarch64, x86_64）
更新包：amazon-ssm-agent-3.3.1611.0-4.36.1
為了維護環境的安全性和穩定性，SUSE建議立即更新Amazon SSM代理。
參考鏈接：https://cybersecuritynews.com/critical-injection-vulnerability-in-suse-linux-distro/
責任編輯：趙寧寧
來源：
FreeBuf
