GLSA 201709-06: Supervisor: command injection vulnerability

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	Supervisor: command injection vulnerability
Дата:	17.09.2017
Ошибки:	#626100
ID:	201709-06

Сводка

A vulnerability in Supervisor might allow remote attackers to execute arbitrary code.

Назначение

Supervisor is a client/server system that allows its users to monitor and control a number of processes on UNIX-like operating systems.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
app-admin/supervisor	< 3.1.4	>= 3.1.4	All supported architectures

Описание

A vulnerability in Supervisor was discovered in which an authenticated client could send malicious XML-RPC requests and supervidord will run them as shell commands with process privileges. In some cases, supervisord is configured with root permissions.

Воздействие

A remote attacker could execute arbitrary code with the privileges of the process.

Обход

There is no known workaround at this time.

Решение

All Supervisor users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose "=app-admin/supervisor-3.1.4"

Ссылки

CVE-2017-11610

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201709-06.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.