RHEL 6 : wget (RHSA-2014:1955)

high Nessus Plugin ID 79710

語系：

概要

遠端 Red Hat 主機缺少一個或多個安全性更新。

說明

現已提供適用於 Red Hat Enterprise Linux 6.5 Extended Update Support 的更新版 wget 套件，可修正一個安全性問題。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

wget 套件提供適用於 HTTP、HTTPS 和 FTP 通訊協定的 GNU Wget 檔案擷取公用程式。

在 Wget 處理符號連結的方式中發現一個瑕疵。惡意的 FTP 伺服器可能會讓以鏡像模式 (使用 '-m' 命令行選項) 執行的 Wget，在可供執行 Wget 的使用者寫入的位置中，寫入任意檔案，從而導致程式碼執行。
(CVE-2014-4877)

注意：此更新變更了 --retr-symlinks 選項的預設值。現已預設為遍歷檔案符號連結，並擷取指向目的地檔案，而非在本機上建立符號連結。

Red Hat 感謝 GNU Wget 專案報告此問題。上游確認 HD Moore of Rapid7, Inc 為原始報告者。

建議所有 wget 使用者皆升級至此更新版套件，其中含有可修正此問題的反向移植修補程式。