SUSE近日發布針對Amazon Systems Manager（SSM）Agent的重要安全更新，解決了“go-git”庫中的嚴重漏洞CVE-2025-21613。該漏洞可能允許攻擊者在特定情況下篡改git-upload-pack標志。

go-git是一個用純Go語言編寫的高度可擴展的Git實現庫。在v5.13之前的版本中，go-git被發現存在參數注入漏洞。攻擊者如果成功利用該漏洞，可以為git-upload-pack標志設置任意值。此問題僅在使用文件傳輸協議時出現，因為該協議是唯一調用Git二進制文件的協議。

安全更新的關鍵細節

該漏洞源于對URL字段的不當處理，為參數注入攻擊提供了可乘之機，進而危及系統完整性。受影響的Amazon SSM Agent已更新至3.3.1611.0版本，修復了此漏洞。更新后，系統能夠安全地處理輸入，降低了被利用的風險。

已發布軟件包列表：

受影響產品列表：

此更新適用于以下版本的SUSE Linux Enterprise產品：

• Public Cloud Module 12
• SUSE Linux Enterprise High Performance Computing：版本12 SP2至SP5
• SUSE Linux Enterprise Server：版本12、12 SP1至SP5
• SUSE Linux Enterprise Server for SAP Applications：版本12、12 SP1至SP5

更新說明

SUSE 建議使用 YaST 或zypper patch命令應用更新。具體操作如下：

(1) Public Cloud Module 12

zypper in -t patch SUSE-SLE-Module-Public-Cloud-12-2025-191=1

更新完成后，請確保重啟所有依賴 Amazon SSM Agent 的服務或進程。

(2) Public Cloud Module 12（aarch64, x86_64）

更新包：amazon-ssm-agent-3.3.1611.0-4.36.1

為了維護環境的安全性和穩定性，SUSE建議立即更新Amazon SSM代理。

參考鏈接：https://cybersecuritynews.com/critical-injection-vulnerability-in-suse-linux-distro/