Debian DLA-2163-1：tinyproxy 安全性更新

medium Nessus Plugin ID 135098

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

已修正 tinyproxy (一個輕量型 http 代理程序) 中的一個輕微安全性問題和一個嚴重封裝錯誤。

CVE-2017-11747

將權限降低至非 root 帳戶後，Tinyproxy 中的 main.c 會建立一個 /var/run/tinyproxy/tinyproxy.pid 檔案，本機使用者可藉此刪除任意處理程序，做法為利用對此非 root 帳戶的存取權，在 root 指令碼執行「kill `cat /run/tinyproxy/tinyproxy.pid`」命令前對 tinyproxy.pid 進行修改。

其他

此外，Tim Dusterhus 在 Debian 適用於 tinyproxy 的 init 指令碼中發現一個嚴重缺陷。在 tiny.conf 設定檔移除 PidFile 選項的情況下，下次執行 logrotate (若已安裝) 時會將系統基本目錄 (「/」) 的擁有者變更為 tinyproxy: tinyproxy。

針對 Debian 8「Jessie」，已在 1.8.3-3+deb8u1 版本中修正此問題。這些修正由 Mike Gabriel 準備。

建議您升級 tinyproxy 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。