現已提供適用於 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7 的 mercurial 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Mercurial 是一個快速、輕量型的來源控制管理系統，其專為有效處理非常大的分散式專案所設計。安全性修正：* 在 Mercurial 中的「hg serve --stdio」命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462)

現已提供適用於 Red Hat Enterprise Linux 6 與 Red Hat Enterprise Linux 7 的 mercurial 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Mercurial 是一個快速、輕量型的來源控制管理系統，其專為有效處理非常大的分散式專案所設計。安全性修正：* 在 Mercurial 中的「hg serve --stdio」命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462)

Python 偵錯工具可供經授權的使用者存取：在 Mercurial 中的「hg serve --stdio」命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462)

來自 Red Hat 安全公告 2017:1576： 現已提供適用於 Red Hat Enterprise Linux 6 與 Red Hat Enterprise Linux 7 的 mercurial 更新。 Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。 Mercurial 是一個快速、輕量型的來源控制管理系統，其專為有效處理非常大的分散式專案所設計。 安全性修正： * 在 Mercurial 中的「hg serve --stdio」命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462)

在 Mercurial 4.1.3 之前的版本中，經驗證的遠端使用者可利用「hg serve --stdio」啟動 Python 偵錯工具，然後透過使用 --debugger 作為存放庫名稱來執行任意程式碼。針對 Debian 7「Wheezy」，這些問題已在 2.2.2-4+deb7u4 版本中修正。建議您升級 mercurial 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在分散式修訂版本控制系統 Mercurial 中發現數個問題。- CVE-2017-9462 (只在 stretch 修正) Mozilla 的 Jonathan Claudius 發現 stdio 的存放庫可能會遭到誘騙，授予已授權的使用者存取 Python 偵錯工具的權利。CVE-2017-1000115 Mercurial 的符號連結稽核不完整，攻擊者可濫用此問題來寫入存放庫外部的檔案。- CVE-2017-1000116 Joern Schneeweisz 發現 Mercurial 未正確處理惡意建立的 ssh://URL。攻擊者可藉此執行任意 shell 命令。

遠端主機受到 GLSA-201709-18 中所述的弱點影響 (Mercurial：多個弱點) 在 Mercurial 中發現多個弱點。如需詳細資料，請檢閱提及的 CVE 識別碼。影響：遠端攻擊者可能以處理程序的權限執行任意程式碼。因應措施：目前尚無已知的因應措施。

安全性修正：- Mercurial 中的「hg serve --stdio」命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462)

執行 MAIN 4.05 版的遠端 NewStart CGSL 主機安裝了受下列弱點影響的 mercurial 套件：- Mercurial 中的 hg serve --stdio 命令處理命令列選項的方式中，發現一個缺陷。經驗證的遠端攻擊者可利用此缺陷，藉由使用特製的命令列選項，在 Mercurial 伺服器上執行任意程式碼。(CVE-2017-9462) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
101077	RHEL 6 / 7：mercurial (RHSA-2017:1576)	Nessus	Red Hat Local Security Checks	2017/6/28	2019/10/24	high
101091	CentOS 6 / 7：mercurial (CESA-2017:1576)	Nessus	CentOS Local Security Checks	2017/6/29	2021/1/4	high
101273	Amazon Linux AMI：mercurial (ALAS-2017-856)	Nessus	Amazon Linux Local Security Checks	2017/7/7	2019/4/10	high
101076	Oracle Linux 6 / 7：mercurial (ELSA-2017-1576)	Nessus	Oracle Linux Local Security Checks	2017/6/28	2021/1/14	high
101121	Debian DLA-1005-1：mercurial 安全性更新	Nessus	Debian Local Security Checks	2017/6/30	2021/1/11	high
102930	Debian DSA-3963-1：mercurial - 安全性更新	Nessus	Debian Local Security Checks	2017/9/5	2021/1/4	critical
103446	GLSA-201709-18：Mercurial：多個弱點	Nessus	Gentoo Local Security Checks	2017/9/25	2021/1/11	critical
101079	Scientific Linux 安全性更新：SL6.x、SL7.x i386/x86_64 上的 mercurial	Nessus	Scientific Linux Local Security Checks	2017/6/28	2021/1/14	high
127335	NewStart CGSL MAIN 4.05：mercurial 弱點 (NS-SA-2019-0104)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	high

偵測

搜尋 Plugin

high

high

high

high

high

critical

critical

high

high