分散バージョンコントロールシステムであるMercurialで複数の問題が発見されました。

  - CVE-2017-9462（stretchでのみ修正）MozillaのJonathan claudius氏は、stdioで提供されるリポジトリが騙されて、権限のあるユーザーにPythonデバッガへのアクセス権を付与する可能性があることを発見しました。

  - CVE-2017-1000115Mercurialのシンボリックリンクの監査は不完全であり、リポジトリの外部のファイルへの書き込みに悪用される可能性がありました。

  - CVE-2017-1000116Joern Schneeweisz氏は、Mercurialが悪意を持って構築されたsvn+ssh://URLsを正しく処理していないことを発見しました。
    これにより、攻撃者は、任意のシェルコマンドを実行できました。

リモートホストは、GLSA-201709-18（Mercurial：複数の脆弱性）で説明されている脆弱性に影響されています。複数の脆弱性がMercurialで発見されています。詳細については、記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、プロセスの権限で任意のコードを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

mercurialの更新プログラムが、Red Hat Enterprise Linux 6とRed Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mercurialは、超大規模な分散プロジェクトを効率的に処理することを目的とした、高速で軽量なソースコントロール管理システムです。セキュリティ修正プログラム：* Mercurialの「hg serve --stdio」コマンドがコマンドラインオプションを処理する方法に欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたコマンドラインオプションを使用し、Mercurialサーバー上で任意のコードを実行でする可能性があります。（CVE-2017-9462）

権限のあるユーザーにアクセス可能なPythonデバッガー：Mercurialの「hg serve --stdio」コマンドがコマンドラインオプションを処理する方法に欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたコマンドラインオプションを使用し、Mercurialサーバー上で任意のコードを実行でする可能性があります。（CVE-2017-9462）

CVE-2017-9462 の修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正プログラム:

  Mercurialの「hg serve --stdio」コマンドがコマンドラインオプションを処理する方法に欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたコマンドラインオプションを使用し、Mercurialサーバー上で任意のコードを実行でする可能性があります。（CVE-2017-9462）

出典：Red Hatセキュリティアドバイザリ2017：1576：mercurialの更新がRed Hat Enterprise Linux 6およびRed Hat Enterprise Linux 7用に入手可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Mercurialは、超大規模な分散プロジェクトを効率的に処理することを目的とした、高速で軽量なソースコントロール管理システムです。セキュリティ修正プログラム：* Mercurialの「hg serve --stdio」コマンドがコマンドラインオプションを処理する方法に欠陥が見つかりました。認証されたリモートの攻撃者がこの欠陥を利用して、特別に細工されたコマンドラインオプションを使用し、Mercurialサーバー上で任意のコードを実行でする可能性があります。（CVE-2017-9462）

4.1.3以前のMercurialでは、「hg serve --stdio」を使うことで、リモート認証されたユーザーがPythonデバッガを起動し、結果的に--debuggerをリポジトリ名として使用して任意のコードを実行することができます。

Debian 7「Wheezy」では、これらの問題はバージョン2.2.2-4+deb7u4で修正されています。

お使いのmercurialパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

mercurial 用のこの更新では、次の問題を修正しています：

  - CVE-2017-9462：「hg serve --stdio」を介したリモートユーザーによる任意のコードの実行を修正します（boo#1043063）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
102930	DebianDSA-3963-1：mercurial - セキュリティ更新	Nessus	Debian Local Security Checks	2017/9/5	2021/1/4	critical
103446	GLSA-201709-18：Mercurial：複数の脆弱性	Nessus	Gentoo Local Security Checks	2017/9/25	2021/1/11	critical
101091	CentOS 6/7：mercurial（CESA-2017:1576）	Nessus	CentOS Local Security Checks	2017/6/29	2021/1/4	high
101273	Amazon Linux AMI：mercurial（ALAS-2017-856）	Nessus	Amazon Linux Local Security Checks	2017/7/7	2019/4/10	high
101071	Fedora 24：mercurial（2017-b154ff2892）	Nessus	Fedora Local Security Checks	2017/6/28	2021/1/6	high
101079	Scientific Linux セキュリティ更新: SL6.x、SL7.x i386/x86_64のmercurial（20170627）	Nessus	Scientific Linux Local Security Checks	2017/6/28	2021/1/14	high
101076	Oracle Linux 6/7：mercurial（ELSA-2017-1576）	Nessus	Oracle Linux Local Security Checks	2017/6/28	2021/1/14	high
101121	Debian DLA-1005-1: mercurialセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2017/6/30	2021/1/11	high
100830	openSUSEセキュリティ更新プログラム：mercurial（openSUSE-2017-689）	Nessus	SuSE Local Security Checks	2017/6/16	2021/1/19	high
101054	Fedora 25：mercurial（2017-62aacc1474）	Nessus	Fedora Local Security Checks	2017/6/27	2021/1/6	high
101077	RHEL 6/7：mercurial（RHSA-2017:1576）	Nessus	Red Hat Local Security Checks	2017/6/28	2019/10/24	high

検出

プラグインの検索

critical

critical

high

high

high

high

high

high

high

high

high