Debian DLA-564-1：tardiff セキュリティ更新

critical Nessus プラグイン ID 92587

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

tardiff で次の 2 つの脆弱性が見つかりました：

CVE-2015-0857

（1）tar ファイルまたは（2）tar ファイル内のファイルの名前のシェルメタキャラクタを介して、任意のコマンド実行が可能でした。

CVE-2015-0858

ローカルユーザーが、/tmp/tardiff-$$ 一時ディレクトリ内のパス名へのシンボリックリンク攻撃を介して、任意のファイルに書き込む可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン 0.1-1+deb7u1 で修正されました。

tardiff パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。