Debian DSA-3206-1：dulwich - セキュリティ更新

high Nessus プラグイン ID 82303

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Git バージョンコントロールシステムによって使用されるファイル形式とプロトコルの Python 実装である Dulwich に、複数の脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2014-9706 Dulwich が、作業ツリーのチェックアウト時に .git/ 下のファイルへの書き込みを許可することが判明しました。これにより、Dulwich をベースにするアプリケーションを実行するユーザーの権限で、任意のコードが実行される可能性があります。

- CVE-2015-0838 Google セキュリティチームの Ivan Fratric 氏は、パックファイルの Git オブジェクトのアクセス時に使用される apply_delta() 関数の C 実装のバッファオーバーフローを発見しました。攻撃者が、この欠陥を利用して、Git サーバーまたは Dulwich に基づくクライアントを実行しているユーザーの権限で、任意のコードの実行を引き起こす可能性があります。

ソリューション

dulwich パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）に対して、これらの問題はバージョン 0.8.5-2+deb7u2 で修正されています。

将来の安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 0.9.7-3 で修正されています。