Debian DLA-3277-1: powerline-gitstatus - LTS セキュリティ更新

high Nessus プラグイン ID 170459

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3277 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- 1.3.2 より前の powerline-gitstatus (別名 Powerline Gitstatus) では、任意のコードの実行が可能です。git リポジトリには、任意のコマンドの実行など、git の動作を変更するリポジトリごとの構成が含まれる可能性があります。powerline-gitstatus を使用している場合、ディレクトリに変更すると、現在のリポジトリに関する情報をプロンプトに表示するために「git」コマンドが自動的に実行されます。攻撃者が、ユーザーを誘導して、共有ファイルシステムや抽出されたアーカイブなど、攻撃者が制御するディレクトリに現在のディレクトリを変更させることができる場合、powerline-gitstatus は攻撃者のコントロール下で任意のコマンドを実行します。注: これはCVE-2022-20001に類似しています。(CVE-2022-42906)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。