高度に構成可能なテキストエディタであるvimで、いくつかの小さな問題が修正されました。

CVE-2017-11109

Vimにより、攻撃者がサービス拒否（無効な解放）を引き起こしたり、細工されたソース（別名: -S）ファイルを介して他の不特定の影響をもたらす可能性があります。

CVE-2017-17087

Vimは.swpファイルのグループ所有権をエディタのプライマリグループに設定します（これは元のファイルのグループ所有権とは異なる場合があります）。これにより、ローカルユーザーは、該当するグループメンバーシップを悪用して機密情報を取得することができます。

CVE-2019-12735

Vimは、サンドボックスで実行される際「:source!」コマンドを制限しませんでした。

Debian 8「Jessie」では、これらの問題はバージョン2:7.4.488-7+deb8u4で修正されました。

お使いのvimパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-1871-1: vimのセキュリティ更新プログラム

high Nessus プラグイン ID 127480

バージョン 1.5