Debian DSA-4371-1: apt - セキュリティの更新

high Nessus プラグイン ID 121317

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Max Justicz氏は、高度なパッケージマネージャーであるAPTで脆弱性を発見しました。HTTPトランスポートメソッドでHTTPリダイレクトを処理するコードが、ネットワークを介して送信されたフィールドを適切にサニタイズしません。APTとミラーの間の中間に位置する攻撃者がこの脆弱性を利用して、HTTP接続で悪意のあるコンテンツを挿入する可能性があります。このコンテンツはその後、APTによって有効なパッケージとして認識され、ターゲットマシンでroot権限を使ってコードを実行するために後で使用される可能性があります。

この脆弱性はパッケージマネージャー自体に存在するため、悪用を防ぐために、次を使用してこのアップグレード中のみリダイレクトを無効にすることが勧められています。

apt -o Acquire: : http: : AllowRedirect=false update apt -o Acquire: : http: : AllowRedirect=false upgrade

これは、security.debian.orgに対して使用されると、一部のプロキシが破損することが知られています。これが発生した場合、アドバイザリーでリンクされているURLを使用するように、セキュリティAPTソースを切り替えることができます:

ソリューション

apt パッケージをアップグレードしてください。

安定版ディストリビューション（stretch）では、この問題はバージョン1.4.9で修正されています。

特定のアップグレード手順:

リダイレクトなしのAPTを使用したアップグレードが状況によって不可能な場合は、アドバイザリーに記載されているURLを使用し、ハッシュが一致していることを確認しながら、お使いのアーキテクチャ用のファイル（wget/curlを使用）を手動でダウンロードできます。その後、dpkg -iを使用してこれらをインストールできます。