GLSA-201709-07 : Kpathsea：受用户协助的任意代码执行

critical Nessus 插件 ID 103275

语言：

简介

远程 Gentoo 主机缺少一个或多个与安全有关的补丁。

描述

远程主机受到 GLSA-201709-07 中所述漏洞的影响（Kpathsea：受用户协助的任意代码执行）

据发现，shell_escape_commands 列表中的 mpost 程序可在 .tex 文件转换期间执行任意外部程序。负责的函数是 runpopen() (texmfmp.c)。
影响：

远程攻击者可诱骗用户打开特别构建的 .tex 文件，从而导致以进程权限执行任意代码。
变通方案：

目前无任何已知的变通方案。

解决方案

所有 Kpathsea 用户均应升级到最新版本：
# emerge --sync # emerge --ask --oneshot --verbose '>=dev-libs/kpathsea-6.2.2_p20160523' 可能需要对依赖此库的程序包进行重新编译。revdep-rebuild 等工具可协助识别这些程序包的一部分。