Debian DLA-1495-1：git-annex - 安全性更新

high Nessus Plugin ID 117296

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

據發現，git-annex 套件在處理不受信任的資訊時存在多個弱點，這可能導致任意命令執行和加密資料洩漏。CVE-2017-12976 6.20170818 之前的 git-annex 可讓遠端攻擊者透過主機名稱中帶有開頭連字號字元的 ssh URL 執行任意命令，如 ssh://-eProxyCommand= URL 所示，這是 CVE-2017-9800、CVE-2017-12836、CVE-2017-1000116 及 CVE-2017-1000117 的相關問題。CVE-2018-10857 git-annex 容易發生私人資料洩漏和外洩攻擊。這可能會暴露 git-annex 存放庫外的檔案內容或 localhost 或 LAN 上私人網頁伺服器上的內容。CVE-2018-10859 git-annex 在解密檔案時，容易發生資訊洩漏。特殊遠端的惡意伺服器可誘騙 git-annex 解密利用使用者 gpg 金鑰加密的檔案。此攻擊可被利用來暴露從未儲存在 git-annex 中的加密資料。針對 Debian 8「Jessie」，這些問題已在 5.20141125+oops-1+deb8u2 版本中修正。建議您升級 git-annex 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。