为 Slackware 13.0、13.1、13.37、14.0、14.1 和当前版本提供了用于修复安全问题的新 mercurial 程序包。

CVE-2016-3630、CVE-2016-3068、CVE-2016-3069 与次要升级的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

mercurial 已更新，修复了三个安全问题。

修复了这些安全问题：

- CVE-2016-3069：转换 Git repos 时执行任意代码 (bsc#973176)。

- CVE-2016-3068：以 Git subrepos 执行任意代码 (bsc#973177)。

- CVE-2016-3630：二进制 delta 解码中的远程代码执行 (bsc#973175)。

mercurial 的更新现在可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

Mercurial 是一个快速、轻量级的源控制管理系统，专用于处理非常大的分布式项目。

安全补丁：

* 已发现 Mercurial 无法正确检查 Git 子存储库 URL。内含 Git 子存储库及特别构建的 URL 的 Mercurial 存储库可造成 Mercurial 执行任意代码。(CVE-2016-3068)

* 已发现 Mercurial 转换扩展无法审查 Git 存储库名称中的特殊字符。将 Git 存储库转换为 Mercurial 存储库时，具有特别构建的名称的 Git 存储库可造成 Mercurial 执行任意代码。(CVE-2016-3069)

Red Hat 在此感谢 Blake Burkhart 报告这些问题。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 3.7.3 的 Mercurial 允许远程攻击者在转换 Git 存储库时通过构建的名称执行任意代码。 (CVE-2016-3069)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Mercurial 报告：

CVE-2016-3630：二进制 delta 解码中的远程代码执行

CVE-2016-3068：Git subrepos 的任意代码执行

CVE-2016-3069：转换 Git repos 时执行任意代码

安全补丁：

- 已发现 Mercurial 无法正确检查 Git 子存储库 URL。内含 Git 子存储库及特别构建的 URL 的 Mercurial 存储库可造成 Mercurial 执行任意代码。(CVE-2016-3068)

- 已发现 Mercurial 转换扩展无法审查 Git 存储库名称中的特殊字符。将 Git 存储库转换为 Mercurial 存储库时，具有特别构建的名称的 Git 存储库可造成 Mercurial 执行任意代码。
 (CVE-2016-3069)

已发现 Mercurial 无法正确检查 Git 子存储库 URL。内含 Git 子存储库及特别构建的 URL 的 Mercurial 存储库可造成 Mercurial 执行任意代码。(CVE-2016-3068)

在低于 3.7.3 版的 Mercurial 中，二进制 delta 解码器允许远程攻击者通过 (1) clone、(2) push 或 (3) pull 命令执行任意代码，这与 (a) 列表大小调整舍入错误与 (b) 简短记录相关。(CVE-2016-3630)

已发现 Mercurial 转换扩展无法审查 Git 存储库名称中的特殊字符。将 Git 存储库转换为 Mercurial 存储库时，具有特别构建的名称的 Git 存储库可造成 Mercurial 执行任意代码。(CVE-2016-3069)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
90319	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 当前版本：mercurial (SSA:2016-092-01)	Nessus	Slackware Local Security Checks	2016/4/5	2021/1/14	high
90414	Fedora 22：mercurial-3.5.2-1.fc22 (2016-79604dde9f)	Nessus	Fedora Local Security Checks	2016/4/8	2021/1/11	high
90559	openSUSE 安全更新：mercurial (openSUSE-2016-467)	Nessus	SuSE Local Security Checks	2016/4/18	2021/1/19	high
90837	CentOS 7：mercurial (CESA-2016:0706)	Nessus	CentOS Local Security Checks	2016/5/3	2021/1/4	high
90851	RHEL 7：mercurial (RHSA-2016:0706)	Nessus	Red Hat Local Security Checks	2016/5/3	2019/10/24	high
219377	Linux Distros 未修补的漏洞: CVE-2016-3069	Nessus	Misc.	2025/3/4	2025/9/3	high
90291	FreeBSD：mercurial -- 多种漏洞 (e1085b15-f609-11e5-a230-0014a5a57822)	Nessus	FreeBSD Local Security Checks	2016/4/1	2021/1/4	high
90854	Scientific Linux 安全更新：SL7.x x86_64 上的 mercurial	Nessus	Scientific Linux Local Security Checks	2016/5/3	2021/1/14	high
90866	Amazon Linux AMI：mercurial (ALAS-2016-697)	Nessus	Amazon Linux Local Security Checks	2016/5/4	2018/4/18	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high