Карточка уязвимости
Характеристики уязвимости
Уровень опасности
Оценка CVSS
Производитель ПО
Наименование ПО
apt
(any)
Описание
Ян Хорн из Google Project Zero обнаружил, что APT, высокоуровневая
утилита для управления пакетами, неправильно обрабатывает ошибки при выполнении
проверки подписей у файлов InRelease. Злоумышленник, способный перехватить
HTTP-запросы к репозиторию apt, использующему файлы InRelease
(файлы Release с прозрачными подписями), может использовать эту уязвимость для
обхода подписи файла InRelease, что приводит к выполнению произвольного
кода.
В стабильном выпуске (jessie) эта проблема была исправлена в
версии 1.0.9.8.4.
В нестабильном выпуске (sid) эта проблема была исправлена в
версии 1.4~beta2.
Рекомендуется обновить пакеты apt.
утилита для управления пакетами, неправильно обрабатывает ошибки при выполнении
проверки подписей у файлов InRelease. Злоумышленник, способный перехватить
HTTP-запросы к репозиторию apt, использующему файлы InRelease
(файлы Release с прозрачными подписями), может использовать эту уязвимость для
обхода подписи файла InRelease, что приводит к выполнению произвольного
кода.
В стабильном выпуске (jessie) эта проблема была исправлена в
версии 1.0.9.8.4.
В нестабильном выпуске (sid) эта проблема была исправлена в
версии 1.4~beta2.
Рекомендуется обновить пакеты apt.
Как исправить
Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
apt - 1.0.9.8.4
Debian GNU/Linux 8:
noarch:
apt - 1.0.9.8.4
Ссылки
http://www.debian.org/security/dsa-3733/
Источник: CVE
Наименование: CVE-2016-1252
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1252
Источник: CVE
Наименование: CVE-2016-1252
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1252
