CVE-2017-17458
KrytyczneStreszczenie
W Mercurial przed wersją 4.4.1 istnieje możliwość, że specjalnie sformatowane repozytorium może spowodować uruchomienie dowolnego kodu w subrepozytoriach Git w postaci skryptu .git/hooks/post-update. Typowe użycie Mercuriala zapobiega tworzeniu takich repozytoriów, ale mogą być one tworzone programowo.
Ocena ryzyka
Organizacja może być narażona na uruchomienie złośliwego kodu, co może prowadzić do kompromitacji systemów i danych. W szczególności, jeśli repozytoria są używane w procesach automatyzacji, ryzyko wzrasta.
Rekomendacja
Zaleca się aktualizację Mercuriala do wersji 4.4.1 lub nowszej, aby zniwelować tę podatność. Dodatkowo, należy monitorować i weryfikować repozytoria pod kątem nieautoryzowanych skryptów.
Oryginalny opis (angielski, źródło NVD)
In Mercurial before 4.4.1, it is possible that a specially malformed repository can cause Git subrepositories to run arbitrary code in the form of a .git/hooks/post-update script checked into the repository. Typical use of Mercurial prevents construction of such repositories, but they can be created programmatically.