CentOS 6 / 7：wget (CESA-2014:1764)

high Nessus Plugin ID 78751

語系：

概要

遠端 CentOS 主機缺少安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 6 和 7 的更新版 wget 套件，可修正一個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

wget 套件提供適用於 HTTP、HTTPS 和 FTP 通訊協定的 GNU Wget 檔案擷取公用程式。

在 Wget 處理符號連結的方式中發現一個瑕疵。惡意的 FTP 伺服器可能會讓以鏡像模式 (使用 '-m' 命令行選項) 執行的 Wget，在可供執行 Wget 的使用者寫入的位置中，寫入任意檔案，從而導致程式碼執行。
(CVE-2014-4877)

注意：此更新變更了 --retr-symlinks 選項的預設值。現已預設為遍歷檔案符號連結，並擷取指向目的地檔案，而非在本機上建立符號連結。

Red Hat 感謝 GNU Wget 專案報告此問題。上游確認 HD Moore of Rapid7, Inc 為原始報告者。

建議所有 wget 使用者皆升級至此更新版套件，其中含有可修正此問題的反向移植修補程式。