GLSA 201709-17: CVS: Command injection

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	CVS: Command injection
Дата:	24.09.2017
Ошибки:	#627498
ID:	201709-17

Сводка

A command injection vulnerability in CVS may allow remote attackers to execute arbitrary code.

Назначение

CVS (Concurrent Versions System) is an open-source network-transparent version control system. It contains both a client utility and a server.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
dev-vcs/cvs	< 1.12.12-r12	>= 1.12.12-r12	All supported architectures

Описание

It was discovered that when CVS is configured to use SSH for remote repositories it allows remote attackers to execute arbitrary code through a repository URL with a specially crafted hostname.

Воздействие

A remote attacker, by enticing a user to clone a specially crafted repository, could possibly execute arbitrary code with the privileges of the process.

Обход

There is no known workaround at this time.

Решение

All CVS users should upgrade to the latest version:

      # emerge --sync
      # emerge --ask --oneshot --verbose ">=dev-vcs/cvs-1.12.12-r12"

Ссылки

CVE-2017-12836

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-201709-17.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.