Git安全新防线“--end-of-options”登场：包管理器安全挑战与版本适配难题待解

探索 --end-of-optionsGit 安全新防线上周研究包管理器 CVE 修复方案时偶然发现 Git 标志 --end-of-options它于 2019 年 11 月在 Git 2.24.0 版本引入因 Git 已将 -- 用于其他用途。在多数 Unix 工具中-- 标记选项解析结束如 rm -- -f 会删除名为 -f 的文件。Git 早期重新定义 -- 用途用它分隔版本和路径规范如 git log main -- README.md 表示 main 分支上涉及该文件的提交。若脚本运行 git log $rev 且 $rev 以破折号开头Git 会将其解析为选项。从引入 --end-of-options 的提交可知需其他标记分隔选项和版本。在 Git 中-- 和 --end-of-options 不同将它们视为可互换是常见错误。git clone -- $url 中在 URL 前加 -- 可行git checkout $ref -- 会将 $ref 标记为版本而非文件名但仍会先将其作为选项解析。要安全传递不可信的版本需写成 git log --end-of-options $rev -- $path。对该标志的支持按子命令逐步添加如 git rev-parse 直到 2.30.0 版本才支持git checkout 和 git reset 直到 2024 年 2 月的 2.43.1 版本才接受。参数注入问题Git、Hg 和 SSH 提供用于运行调用者指定命令的选项如 git clone 接受 --upload-packgit 调用接受 -c core.sshCommandMercurial 接受 --configalias.!SSH 接受 -oProxyCommand。当包装程序将不可信字符串传递到参数列表中这些选项会成为攻击手段这种失败模式有 CWE-88 参数注入编号。它与命令注入不同包装程序构建参数向量数组并直接调用 execGit 会将以破折号开头的参数解析为选项。docker build 中的 CVE-2019-13139 就是典型例子。2017 年 8 月同一天Git、Mercurial、Subversion 和 CVS 都出现此类漏洞每个系统将 URL 主机名作为参数传递给 SSH以 -oProxyCommand 开头的主机名变成 SSH 选项。Phabricator 事后分析指出只有 Subversion 在修复时在主机名前添加 --Git 和 Mercurial 选择验证主机名格式报告称 -- 机制本身“默认不安全”。包管理器的安全挑战包管理器常将 Git URL 或引用作为数据传递给子进程如在 Gemfile、package.json 及多种配置文件中使用。检查的 19 个包管理器中17 个默认或唯一方式是调用 git 二进制文件另外两个默认使用库Cargo 使用 libgit2 并可通过设置调用 gitPoetry 在 1.2.0 版本切换到 dulwich 并可回退到调用 gitNix 读取本地仓库时使用 libgit2拉取时调用 git。针对包管理器发布的 CVEs 众多如 Bundler、Composer、Poetry 等都有相关漏洞。在调用 git 的 17 个包管理器中只有 Go 的 cmd/go 使用了 --end-of-options它在 2019 年 6 月在仓库 URL 前添加 --2026 年 1 月全面添加 --end-of-options 修复 CVE-2025-68119还添加 HGPLAINstrictflags 限制 Mercurial 早期选项解析。最低 Git 版本要求其他对参数列表进行防护的包管理器要么使用 --要么对输入进行前导破折号检查多数防护措施是作为已报告漏洞的修复添加。如 Bundler 的 git clone 中 URL 前的 -- 是 CVE-2021-43809 的补丁cocoapods-downloader 对前导破折号的拒绝与 CVE-2022-21223 披露时间一致Poetry 的防护措施于 2021 年 9 月添加。Composer 解释几乎没有工具使用 --end-of-options 的原因是支持早于该标志的 Git 版本vcpkg 最低支持 Git 2.7.4 版本Homebrew 在 Linux 上最低支持 Git 2.7.0 版本。上个月打包 Git 2.14.3 的 Amazon Linux 2 停止维护Ubuntu 18.04 扩展支持到 2028 年安装 Git 2.17.0Ubuntu 20.04 扩展支持到 2030 年安装 Git 2.25.1该版本在 git fetch 中可接受 --end-of-options但在 git rev-parse 中会拒绝。依赖该标志需提高最低 Git 版本会使使用发行版自带 Git 的用户无法使用。Git 库的优势与挑战libgit2、gitoxide、go-git、JGit 和 dulwich 实现了足够的 Git 网络协议可在进程内克隆和拉取无参数注入问题。Jujutsu 使用 gitoxide 进行 Git 交互无参数注入类漏洞公开 CVEsgo-git 有 CVE-2025-21613 漏洞针对 file:// 传输。使用捆绑的 Git 实现需跟踪上游 Git 发布的每个检出安全修复libgit2 和 JGit 都经历过此类修复。写文章促使向 Homebrew 提交 PR将其最低 Git 版本提高到 2.30.0并添加 --end-of-optionscheckout 和 reset 调用保持不变因支持这些操作需最低 Git 版本为 2024 年 2 月发布的 2.43.1对一些受支持发行版来说太新。相关文章包括 2026 年 7 月 17 日的《将 Homebrew 接入漏洞生态系统》、2026 年 7 月 7 日的《包管理器中的内容寻址》、2026 年 6 月 29 日的《拆分标准库》、2026 年 6 月 26 日的《事件报告CVE-2026-LGTM》、2026 年 6 月 5 日的《安装脚本白名单》。