Debian DSA-3542-1：mercurial - セキュリティ更新

high Nessus プラグイン ID 90370

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

複数の脆弱性が、分散バージョンコントロールシステムである Mercurial で発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

- CVE-2016-3068 Blake Burkhart 氏は、Mercurial が Git サブリポジトリの URL のために、クローンで任意のコード実行の可能性があることを発見しました。

- CVE-2016-3069 Blake Burkhart 氏は、Git リポジトリを特別に細工された名前で変換することで、Mercurial で任意のコード実行が可能なことを発見しました。

- CVE-2016-3630 Mercurial がそのバイナリデルタデコーダーで適切に境界チェックを実行しないため、clone、push または pull を通じてリモートコード実行に悪用可能であることが判明しました。

ソリューション

mercurial パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題は、バージョン 2.2.2-4+deb7u2.で修正済みです。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 3.1.2-2+deb8u2 で修正されています。