GLSA-201709-09：Subversion：任意程式碼執行

critical Nessus Plugin ID 103277

語系：

概要

遠端 Gentoo 主機缺少一個或多個與安全性相關的修補程式。

說明

遠端主機受到 GLSA-201709-09 中所述的弱點影響 (Subversion：任意程式碼執行) 特製的「ssh://...」若已在用戶端系統上安裝這些命令，URL 可能允許存放庫擁有者在用戶端的機器上執行任意命令。當第三方存放庫有一個或多個具有特製「ssh://...」的子模組時尤其危險URL。每當以遞迴方式複製存放庫時，或更新子模組時，裝載就會遭到觸發。影響：遠端攻擊者可引誘使用者複製特製的存放庫，進而可能以處理程序的權限執行任意程式碼。因應措施：有多種替代方式可以修正此弱點。如需詳細資料，請參閱 Subversion 團隊宣告。

解決方案

所有 Subversion 1.9.x 使用者皆應升級至最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=dev-vcs/subversion-1.9.7' 所有 Subversion 1.8.x 使用者皆應升級至最新版本：# emerge --sync # emerge --ask --oneshot --verbose '>=dev-vcs/subversion-1.8.18'