Debian DSA-4016-1：irssi - 安全性更新

critical Nessus Plugin ID 104400

語系：

概要

遠端 Debian 主機缺少安全性更新。

說明

在終端機型 IRC 用戶端 Irssi 中發現多個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：- CVE-2017-10965 Geeknik Labs 的 Brian 'geeknik' Carpenter 發現 Irssi 未正確處理接收到含有無效時間戳記的訊息。惡意 IRC 伺服器可利用此缺陷造成 Irssi 損毀，進而導致拒絕服務。- CVE-2017-10966 Geeknik Labs 的 Brian 'geeknik' Carpenter 發現 Irssi 容易受到更新內部暱稱清單時觸發的釋放後使用缺陷攻擊。惡意 IRC 伺服器可利用此缺陷造成 Irssi 損毀，進而導致拒絕服務。- CVE-2017-15227 Joseph Bisch 發現在等候通道同步化時，Irssi 可能無法正確移除查詢清單中的毀壞通道，造成在之後更新狀態時引發釋放後使用情形。惡意 IRC 伺服器可利用此缺陷造成 Irssi 損毀，進而導致拒絕服務。- CVE-2017-15228 Hanno Boeck 報告 Irssi 未正確處理安裝含有未結束顏色格式序列的主題，導致可誘騙使用者安裝特製主題，藉此造成拒絕服務。- CVE-2017-15721 Joseph Bisch 發現 Irssi 未正確處理格式錯誤的 DCC CTCP 訊息。遠端攻擊者可利用此缺陷造成 Irssi 損毀，進而導致拒絕服務。- CVE-2017-15722 Joseph Bisch 發現 Irssi 未正確驗證安全通道 ID。惡意 IRC 伺服器可利用此缺陷造成 Irssi 損毀，進而導致拒絕服務。- CVE-2017-15723 Joseph Bisch 報告 Irssi 未正確處理過長的暱稱或目標，會造成分割訊息時發生 NULL 指標解除參照，且會導致拒絕服務。

解決方案

升級 irssi 套件。針對舊的穩定發行版本 (jessie)，這些問題已在 0.8.17-1+deb8u5 版本中修正。針對穩定的發行版本 (stretch)，這些問題已在 1.0.2-1+deb9u3 版本中修正。CVE-2017-10965 和 CVE-2017-10966 已在之前的重點版本中修正。