Debian DLA-2336-1：firejail 安全更新

critical Nessus 插件 ID 139756

语言：

简介

远程 Debian 主机缺少安全更新。

描述

Tim Starling 在 firejail（用于限制不受信任应用程序的运行环境的沙盒程序）中发现两个漏洞。

CVE-2020-17367

报告称，firejail 未遵循选项结束分隔符（“--”），从而允许控制沙盒应用程序命令行选项的攻击者将数据写入指定文件。

CVE-2020-17368

报告称，当通过 --output 或
--output-stderr 重定向输出时，firejail 将所有命令行参数连接成单一字符串，并传送至 shell。控制沙盒应用程序命令行参数的攻击者可利用此缺陷运行任意其他命令。

对于 Debian 9 stretch，已在版本 0.9.44.8-2+deb9u1 中修复这些问题。

我们建议您升级 firejail 程序包。

如需了解 firejail 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/firejail

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。