CVE-2024-45720：Windows 版 Apache Subversion 中发现代码执行缺陷

Apache Subversion (SVN) 中发现了一个严重安全漏洞 CVE-2024-45720 (CVSS 8.2)。Apache Subversion 是一种流行的版本控制系统，开发人员广泛使用它来维护源代码、网页和文档。此漏洞主要影响 Windows 平台，可能会出现命令行参数注入，从而导致执行非预期程序。

根据 Apache Subversion 项目的安全公告，该漏洞源于 Windows 平台上命令行参数的处理方式。具体来说，问题源于将命令行参数传递给 Subversion 可执行文件（如 svn.exe）时发生的“最佳匹配”字符编码转换。正如该公告所解释的那样：“攻击者可以使用特制的命令行参数字符串运行 Subversion 的可执行文件（svn.exe 等），从而利用字符编码转换过程导致意外的命令行参数解释，从而导致参数注入和执行其他程序。”

由于 Windows 处理命令行参数的方式与类 UNIX 平台不同，这一缺陷更加严重。在 Windows 上，命令行参数以单个字符串的形式传递给程序，程序必须将其解析为单个参数。在此过程中，会发生“最佳匹配”字符编码转换，尤其是涉及某些 Unicode 字符时，这可能导致不可预测的结果，包括执行恶意命令。

该咨询报告指出：  “已知 Subversion 会受到 Windows 10 和 11 的影响；它也可能受到大多数其他 Windows 版本的影响。”

尽管该问题仅限于 Windows，但 Apache Subversion 在开发环境中的广泛使用增加了风险，因为许多团队依赖 Subversion 来管理跨不同项目的版本控制流程。此缺陷对类 UNIX 平台（例如 Linux 和 macOS）没有影响，因为这些平台以不同的方式处理命令行参数。

该漏洞由 DEVCORE 研究团队的安全研究人员 Orange Tsai 和 Splitline 报告，他们以识别关键软件漏洞的专业知识而闻名。

CVE-2024-45720 漏洞已在Subversion 1.14.4中得到修补，强烈建议所有 Windows 平台用户升级到此修复版本。对于无法立即升级的用户，此公告提供了通过应用 Subversion 项目提供的补丁程序进行临时缓解的方法。