GLSA-201709-09：Subversion：任意のコードの実行

critical Nessus プラグイン ID 103277

Language:

概要

リモートのGentooホストに1つ以上のセキュリティ関連のパッチがありません。

説明

リモートホストは、GLSA-201709-09 （Subversion：任意のコードの実行）で説明されている脆弱性に影響されています。特別に細工された ‘ssh://...’ URLにより、任意のコマンドがクライアントのシステムにすでにインストールされている場合に、リポジトリの所有者がクライアントマシン上でそのコマンドを実行できる場合があります。これは、サードパーティリポジトリが、特別に細工された‘ssh://...’のURLを有する1つ以上のサブモジュールをもつ場合に特に危険です。リポジトリが再帰的に複製されるか、サブモジュールが更新されるたびに、ペイロードがトリガーされます。影響：リモートの攻撃者が、特別に細工されたリポジトリを複製するようにユーザーを誘導することで、プロセスの権限で任意のコードを実行する可能性があります。回避策：この脆弱性を修正する方法はいくつかあります。詳細については、Subversion Team Announceを参照してください。

ソリューション

Subversion 1.9.x の全ユーザーは、最新バージョンにアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-vcs/subversion-1.9.7' Subversion 1.8.x の全ユーザーは、最新バージョンにアップグレードする必要があります： # emerge --sync # emerge --ask --oneshot --verbose '>=dev-vcs/subversion-1.8.18'