Mercurial が Git サブリポジトリの URL を適切にチェックしていないことが判明しました。Mercurial リポジトリに含まれる Git サブリポジトリの URL が特別に細工されている場合、Mercurial は任意のコードを実行する可能性があります。（CVE-2016-3068）

3.7.3 より前の Mercurial のバイナリデルタデコーダーにより、リモートの攻撃者が、(a) リストサイズ丸めエラーおよび (b) 短いレコードに関連して、(1) clone、(2) push、または (3) pull コマンドを通じて、任意のコードを実行する可能性があります。（CVE-2016-3630）

Mercurial の変換拡張が Git リポジトリの名前にある特殊文字をサニタイズしていないことが判明しました。Git リポジトリの名前が特別に細工されている場合、Git リポジトリが Mercurial リポジトリに変換される際に、Mercurial は任意のコードを実行する可能性があります。（CVE-2016-3069）

検出

Amazon Linux AMI：mercurial（ALAS-2016-697）

high Nessus プラグイン ID 90866

変更ログが見つかりません