Debian DSA-4211-1: xdg-utils - セキュリティ更新

high Nessus プラグイン ID 110165

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Gabriel Corona氏は、デスクトップ環境統合用のツールセットであるxdg-utilsが引数インジェクション攻撃に脆弱であることを発見しました。
被害者のホストの環境変数BROWSERに「％s」があり、被害者がxdg-openで攻撃者が細工したリンクを開くと、悪意のある者が、ブラウザを開いた際に使用されるパラメーターを操作する可能性があります。この操作により、たとえば、特定の実行のためにネットワークトラフィックが傍受されるプロキシが設定される可能性があります。

ソリューション

xdg-utilsパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (jessie) では、この問題は、バージョン1.1.0~rc1+gt20111210-7.4+deb8u1で修正されています。

安定版（stable）ディストリビューション（stretch）では、この問題はバージョン1.1.1-1+deb9u1で修正されています。