远程 Debian 11 主机上安装的程序包受到 dsa-5234 公告中提及的一个漏洞影响。

  - fish 是命令行 shell。 fish 版本 3.1.0 至版本 3.3.1 容易受到任意代码执行的影响。 git 存储库可包含每个存储库的配置，这些配置可更改 git 的行为，包括运行任意命令。当使用 fish 的默认配置时，更改为目录会自动运行 `git` 命令，以便在提示符中显示有关当前存储库的信息。如果攻击者可以诱使用户将其当前目录更改为由攻击者控制的目录（例如在共享文件系统上或在提取的存档上），则 fish 将在攻击者的控制下运行任意命令。已在 fish 3.4.0 版中修复此问题。请注意，在这些目录中运行 git（包括使用 git 选项卡完成）仍然可能触发此问题。变通方案是，从提示符中删除 `fish_git_prompt` 函数。(CVE-2022-20001)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-5234-1：fish - 安全更新

high Nessus 插件 ID 165328

未找到变更日志