Debian DLA-2336-1：firejail 安全性更新

critical Nessus Plugin ID 139756

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

Tim Starling 在 firejail (一個用於限制不受信任之應用程式執行環境的沙箱程式）中發現兩個弱點。

CVE-2020-17367

據報告，firejail 未遵循選項結尾分隔符號 (「-」)，允許可控製沙箱應用程式命令行選項的攻擊者將資料寫入至指定檔案。

CVE-2020-17368

據報告，在透過 --output 或
或 --output-stderr 重新導向輸出時，firejail 會將所有命令行引數串連到傳遞至 shell 的單一字串中。若攻擊者可控製沙箱化應用程式的命令行引數，便可利用此瑕疵執行其他任意命令。

針對 Debian 9「Stretch」，已在 0.9.44.8-2+deb9u1 版本中修正這些問題。

建議您升級 firejail 套件。

如需有關 firejail 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。