Debian DLA-2293-1：mercurial 安全更新

critical Nessus 插件 ID 139244

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在易于使用且可扩展的分布式版本控制系统 mercurial 中发现多个漏洞。

CVE-2017-17458

在 4.4.1 之前的 Mercurial 中，特殊的错误格式 Mercurial 存储库会导致 Git 子存储库以检入存储库的 .git/hooks/post-update 脚本的形式运行任意代码。
Mercurial 的典型使用方式会阻止构建此类存储库，但它们可以通过编程方式创建。

CVE-2018-13346

Mercurial 4.6.1 之前版本的 mpatch.c 中的 mpatch_apply 函数在碎片开始位置超过原始数据的结尾位置时，无法正确继续。

CVE-2018-13347

Mercurial 4.6.1 之前版本中的 mpatch.c 未正确处理整数加法和减法。

CVE-2018-13348

在 Mercurial 4.6.1 之前版本中，mpatch.c 中的 mpatch_decode 函数未能正确处理某些情况，其中补丁数据中的当前位置之后至少还应保留 12 个字节，但实际上并非如此。

CVE-2018-1000132

Mercurial 4.5 及之前版本在协议服务器中包含一个错误访问控制 (CWE-285) 漏洞，可导致未授权的数据访问。此攻击似乎可通过网络连接加以利用。此漏洞似乎已在 4.5.1 中修复。

CVE-2019-3902

符号链接和子存储库可用来破解 Mercurial 的路径检查逻辑，并在存放库 root 之外写入文件。

对于 Debian 9 stretch，已在版本 4.0-1+deb9u2 中修复这些问题。

我们建议您升级 mercurial 程序包。

如需了解 mercurial 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/mercurial

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。