Debian DLA-1495-1：git-annex 安全更新

high Nessus 插件 ID 117296

语言：

简介

远程 Debian 主机缺少安全更新。

描述

git-annex 程序包中发现多个漏洞，在操作未受信任的数据时可能会造成任意命令执行和加密数据渗漏。CVE-2017-12976 git-annex 6.20170818 之前版本中，远程攻击者通过主机名中带有初始短划线字符的 ssh URL，可能会造成执行任意命令，这一点已由 ssh://-eProxyCommand= URL 证实，此问题与 CVE-2017-9800、CVE-2017-12836、CVE-2017-1000116 和 CVE-2017-1000117 有关。CVE-2018-10857 git-annex 容易受到私有数据泄露和渗漏攻击。此漏洞可能会泄露位于 git-annex 存储库以外的文件内容，或来自于本地主机或 LAN 上的私有 web 服务器中的内容。CVE-2018-10859 git-annex 在解密文件时，容易受到信息泄露攻击。恶意的特定远程服务器可能会诱骗 git-annex 解密通过用户 gpg 密钥加密的文件。此攻击可用于泄露 git-annex 中从未存储过的加密数据对于 Debian 8“Jessie”，这些问题已在 5.20141125+oops-1+deb8u2 版本中修复。建议您升级 git-annex 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。