DSA-3963-1 mercurial -- обновление безопасности

Критичная (9.0)

(AV:N/AC:L/Au:S/C:C/I:C/A:C)

Debian

mercurial (any) mercurial-common (any)

В Mercurial, распределённой системе управления версиями, было обнаружено
несколько проблем.

CVE-2017-9462
  (исправлено только в stretch)
  Джонатан Клаудиус из Mozilla обнаружил, что репозитории, обслуживаемые
  через stdio, могут предоставлять авторизованным пользователям доступ к
  отладчику Python.
CVE-2017-1000115
  Аудит символьных ссылок в Mercurial оказался неполным, символьные ссылки могут
  использоваться для записи файлов за пределами репозитория.
CVE-2017-1000116
  Йорн Штивайц обнаружил, что Mercurial неправильно обрабатывает специально
  сформированные URL вида ssh://. Это позволяет злоумышленнику запускать произвольные
  команды командной оболочки.

В предыдущем стабильном выпуске (jessie) эти проблемы были исправлены
в версии 3.1.2-2+deb8u4.
В стабильном выпуске (stretch) эти проблемы были исправлены в
версии 4.0-1+deb9u1.
Рекомендуется обновить пакеты mercurial.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 9:
noarch:
mercurial - 4.0-1+deb9u1
mercurial-common - 4.0-1+deb9u1
Debian GNU/Linux 8:
noarch:
mercurial - 3.1.2-2+deb8u4
mercurial-common - 3.1.2-2+deb8u4

http://www.debian.org/security/dsa-3963/

Источник: CVE
Наименование: CVE-2017-1000116
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000116

Источник: CVE
Наименование: CVE-2017-9462
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9462

Источник: CVE
Наименование: CVE-2017-1000115
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000115