CVE-2017-17458

描述

In Mercurial before 4.4.1, it is possible that a specially malformed repository can cause Git subrepositories to run arbitrary code in the form of a .git/hooks/post-update script checked into the repository. Typical use of Mercurial prevents construction of such repositories, but they can be created programmatically.

如何修補 CVE-2017-17458

要修補 CVE-2017-17458,請將受影響套件升級到下列已修補版本。

• —升級至 4.4.1-1 或更新版本
• —升級至 2.2.2-4+deb7u6 或更新版本
• —升級至 3.1.2-2+deb8u5 或更新版本
• —升級至 3.1.2-2+deb8u6 或更新版本
• —升級至 4.0-1+deb9u2 或更新版本
• —升級至 4.4.1 或更新版本
• —升級至 4.4.1 或更新版本

CVE-2017-17458 正在被利用嗎?

中等 — EPSS 為 6.3%,可持續追蹤但非最高優先。

受影響套件(7)

• from 0, < 4.4.1-1
• from 0, < 2.2.2-4+deb7u6
• from 0, < 3.1.2-2+deb8u5
• from 0, < 3.1.2-2+deb8u6
• from 0, < 4.0-1+deb9u2
• from 0, < 4.4.1
• from 0, < 4.4.1

CVSS 分數

參考連結(15)

• ADVISORYgithub.com/advisories/GHSA-6v56-cpg6-3rpx
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2017-17458
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2017-17458
• PATCHgithub.com/dscho/hg
• WEBwww.securityfocus.com