CVE-2017-9462
WysokieStreszczenie
W Mercurial przed wersją 4.1.3, polecenie 'hg serve --stdio' umożliwia zdalnym uwierzytelnionym użytkownikom uruchomienie debugera Pythona, co pozwala na wykonanie dowolnego kodu poprzez użycie opcji --debugger jako nazwy repozytorium.
Ocena ryzyka
Podatność ta stwarza ryzyko wykonania złośliwego kodu przez zdalnych użytkowników, co może prowadzić do kompromitacji systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację Mercuriala do wersji 4.1.3 lub nowszej, aby zniwelować tę podatność.
Inne podatności w Mercurial
Zobacz wszystkie- CVE-2017-1000115Wysokie
Mercurial przed wersją 4.3 jest podatny na brak sprawdzenia symlinków, co pozwala złośliwym repozytoriom na modyfikację plików poza repozytorium.
- CVE-2016-3630Wysokie
Dekoder binarnych różnic w Mercurial przed wersją 3.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez polecenia (1) klonowania, (2) przesyłania lub (3) pobierania, związane z (a) błędem zaokrąglania rozmiaru listy oraz (b) krótkimi rekordami.
- CVE-2016-3069Wysokie
Mercurial w wersjach przed 3.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowaną nazwę podczas konwersji repozytorium Git.
- CVE-2016-3068Wysokie
Mercurial w wersjach przed 3.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany URL git ext:: podczas klonowania subrepozytorium.
- CVE-2014-9462Wysokie
Funkcja _validaterepo w sshpeer w Mercurial przed wersją 3.2.4 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez spreparowaną nazwę repozytorium w poleceniu klonowania.
- CVE-2017-17458Krytyczne
W Mercurial przed wersją 4.4.1 istnieje możliwość, że specjalnie sformatowane repozytorium może spowodować uruchomienie dowolnego kodu w subrepozytoriach Git w postaci skryptu .git/hooks/post-update. Typowe użycie Mercuriala zapobiega tworzeniu takich repozytoriów, ale mogą być one tworzone programowo.
- CVE-2017-1000116Krytyczne
Mercurial w wersjach przed 4.3 nie odpowiednio sanitizował nazw hostów przekazywanych do ssh, co prowadziło do możliwości ataków typu shell-injection.
Oryginalny opis (angielski, źródło NVD)
In Mercurial before 4.1.3, "hg serve --stdio" allows remote authenticated users to launch the Python debugger, and consequently execute arbitrary code, by using --debugger as a repository name.