Sourcetree の 内蔵 Git 脆弱性対策版リリース

SOBUE Ryoji[Ricksoft]

Sourcetree の内蔵 Git について、脆弱性が存在した場合の対策版のリリースのポリシー(〇〇日以内にリリースする等) がございましたらご提示頂けないでしょうか?

直近ですと、以下の脆弱性が報告されていますが、これらの脆弱性の対応バージョンが近日中にリリースされることを期待しています。
(外部ライブラリを利用しているようなので、なかなか難しい面もあるかと思います)

https://nvd.nist.gov/vuln/detail/CVE-2020-5260

また、Sourcetree のバージョンと内蔵Git のバージョンの関連について、以下の認識で一致していますでしょうか?

・Sourcetree のバージョン に対応する 内蔵Git のバージョンが一意に決まっており、内蔵Git だけバージョンアップすることはできない (Update Embedded をクリックしても、現在入っているバージョンが再度ダウンロードされるだけ)
・なので、例えば上記脆弱性に内蔵Gitで対応しようと思ったら、上記脆弱性対策済の内蔵Gitを使用する Sourcetree へバージョンにアップする必要がある

Tomoko Suzuki_r4ykfa

コミュニティをご利用いただきありがとうございます。

セキュリティバグ修正ポリシーは以下をご参照ください。

• セキュリティバグ修正ポリシー 

CVE-2020-5260 に関して、修正バージョンの Git を内蔵した Sourcetree が近日公開予定となっております。
以下のブログに詳細の記載がございますのでご参照ください。

• Git vulnerability in multiple versions including 2.26

なお、 Sourcetree は 内蔵Git ではなく システムGit を指定することが可能です。
恐れ入りますが修正バージョンがリリースされるまでは 2.26.1 以上のシステムGit をご利用ください。

• Using Embedded Git or System Git in SourceTree