Debian DSA-4650-1：qbittorrent - 安全更新
critical Nessus 插件 ID 135191
语言：
简介
远程 Debian 主机缺少与安全相关的更新。描述
Miguel Onoro 报告称，具有 Qt5 GUI 用户界面的 bittorrent 客户端 qbittorrent 允许通过 torrent 名称参数或当前跟踪器参数中的 shell 元字符注入命令，如果配置 qbittorrent 以在 torrent 完成时运行外部程序，该漏洞可通过在 RSS 源中构建的名称导致远程命令执行。解决方案
升级 qbittorrent 程序包。对于旧稳定发行版本 (stretch)，已在版本 3.3.7-3+deb9u1 中修复此问题。
对于稳定发行版本 (buster)，已在版本 4.1.5-1+deb10u1 中修复此问题。
另见
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=932539
https://security-tracker.debian.org/tracker/source-package/qbittorrent
https://packages.debian.org/source/stretch/qbittorrent
插件详情
严重性: Critical
ID: 135191
文件名: debian_DSA-4650.nasl
版本: 1.3
类型: local
代理: unix
发布时间: 2020/4/3
最近更新时间: 2024/3/19
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 5.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2019-13640
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:qbittorrent, cpe:/o:debian:debian_linux:10.0, cpe:/o:debian:debian_linux:9.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2020/4/2
漏洞发布日期: 2019/7/17
参考资料信息
CVE: CVE-2019-13640
DSA: 4650