DebianDSA-3984-1：git - セキュリティ更新

high Nessus プラグイン ID 103473

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

joernchen氏は、分散バージョンコントロールシステムであるGitのgit-cvsserverサブコマンドが、Perl backtickオペレーターの安全でない使用により、シェルコマンド注入の脆弱性の影響を受けることを発見しました。git-cvsserverサブコマンドは、CVSサポートが構成されていない場合でも（git-cvsパッケージをインストールする必要がある場合でも）、git-shellサブコマンドから到達可能です。

実際のバグの修正に加えて、この更新プログラムでは、デフォルトでgit-shellからcvsserverサブコマンドの削除も行います。このCVS機能がまだ必要な場合に再度有効にする方法については、更新されたドキュメントを参照してください。

ソリューション

gitパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (jessie) では、この問題は、バージョン1:21.4.2-1+deb8u5で修正されています。

安定版（stable）ディストリビューション（stretch）では、この問題はバージョン1:211.0-3~deb9u2で修正されています。