Debian DLA-3303-1: ruby-git - LTS セキュリティ更新

critical Nessus プラグイン ID 170879

Language:

概要

リモートの Debian ホストに 1 つまたは複数のセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3303 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 1.11.0 より前のパッケージ git は、git 引数インジェクションによるコマンドインジェクションに対して脆弱です。fetch(remote = 'origin', opts = {}) 関数を呼び出すとき、リモートパラメーターが git fetch サブコマンドに渡され、それによって追加フラグを設定できます。追加のフラグを使用すると、コマンドインジェクションを実行できます。(CVE-2022-25648)

- v1.13.0 より前のバージョンの ruby-git では、ユーザーに特別に細工されたファイル名を含むリポジトリを製品にロードさせることで、認証されたリモートの攻撃者が任意の ruby コードを実行する可能性があります。この脆弱性は CVE-2022-47318 とは異なります。(CVE-2022-46648)

- v1.13.0 より前のバージョンの ruby-git では、ユーザーに特別に細工されたファイル名を含むリポジトリを製品にロードさせることで、認証されたリモートの攻撃者が任意の ruby コードを実行する可能性があります。この脆弱性は CVE-2022-46648 とは異なります。(CVE-2022-47318)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。