分散バージョンコントロールシステムであるMercurialで複数の問題が発見されました。

  - CVE-2017-9462（stretchでのみ修正）MozillaのJonathan claudius氏は、stdioで提供されるリポジトリが騙されて、権限のあるユーザーにPythonデバッガへのアクセス権を付与する可能性があることを発見しました。

  - CVE-2017-1000115Mercurialのシンボリックリンクの監査は不完全であり、リポジトリの外部のファイルへの書き込みに悪用される可能性がありました。

  - CVE-2017-1000116Joern Schneeweisz氏は、Mercurialが悪意を持って構築されたsvn+ssh://URLsを正しく処理していないことを発見しました。
    これにより、攻撃者は、任意のシェルコマンドを実行できました。

検出

DebianDSA-3963-1：mercurial - セキュリティ更新

critical Nessus プラグイン ID 102930

バージョン 3.8