mercurial 的更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mercurial 是一个快速、轻量级的源控制管理系统，专用于处理非常大的分布式项目。安全修复：* 在 Mercurial 处理命令行选项 ‘hg serve --stdio’ 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

在分布式版本控制系统 Mercurial 中发现数个问题。- CVE-2017-9462（仅在 stretch 中修复）Mozilla 的 Jonathan Claudius 发现可诱骗通过 stdio 提供的存储库授予经授权用户访问 Python 调试器的权限。- CVE-2017-1000115 Mercurial 的符号链接审核不完整，可能遭到滥用以写入存储库之外的文件。- CVE-2017-1000116 Joern Schneeweisz 发现 Mercurial 未正确处理恶意构建的 ssh://URL。从而允许攻击者运行任意 shell 命令。

远程主机受到 GLSA-201709-18 中所述漏洞的影响（Mercurial：多个漏洞）在 Mercurial 中发现多个漏洞。如需详细信息，请查看供参考的 CVE 标识符。影响：远程攻击者可能以进程的权限执行任意代码。解决方法：目前无任何已知的解决方法。

来自 Red Hat 安全公告 2017:1576： mercurial 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Mercurial 是一个快速、轻量级的源控制管理系统，专用于处理非常大的分布式项目。 安全补丁： * 在 Mercurial 处理命令行选项 'hg serve --stdio' 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

在 4.1.3 之前版本的 Mercurial 中，“hg serve --stdio”允许经身份验证的远程用户使用 --debugger 作为存储库名称来启动 Python 调试器，从而导致执行任意代码。对于 Debian 7“Wheezy”，这些问题已在 2.2.2-4+deb7u4 版本中修复。我们建议您升级 mercurial 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

安全修复：- 在 Mercurial 处理命令行选项 ‘hg serve --stdio’ 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受漏洞影响的 mercurial 程序包：- 在 Mercurial 处理命令行选项 hg serve --stdio 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

mercurial 更新现可用于 Red Hat Enterprise Linux 6 和 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Mercurial 是一个快速、轻量级的源控制管理系统，专用于处理非常大的分布式项目。安全修复：* 在 Mercurial 处理命令行选项 ‘hg serve --stdio’ 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

Python 调试器可供经授权的用户访问：在 Mercurial 处理命令行选项 ‘hg serve --stdio’ 命令的方式中发现缺陷。经身份验证的远程攻击者可利用此缺陷，通过特制的命令行选项，在 Mercurial 服务器上执行任意代码。(CVE-2017-9462)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
101077	RHEL 6 / 7 : mercurial (RHSA-2017:1576)	Nessus	Red Hat Local Security Checks	2017/6/28	2019/10/24	high
102930	Debian DSA-3963-1：mercurial - 安全更新	Nessus	Debian Local Security Checks	2017/9/5	2021/1/4	critical
103446	GLSA-201709-18：Mercurial：多个漏洞	Nessus	Gentoo Local Security Checks	2017/9/25	2021/1/11	critical
101076	Oracle Linux 6 / 7 : mercurial (ELSA-2017-1576)	Nessus	Oracle Linux Local Security Checks	2017/6/28	2021/1/14	high
101121	Debian DLA-1005-1：mercurial 安全更新	Nessus	Debian Local Security Checks	2017/6/30	2021/1/11	high
101079	Scientific Linux 安全更新：SL6.x、SL7.x i386/x86_64 上的 mercurial	Nessus	Scientific Linux Local Security Checks	2017/6/28	2021/1/14	high
127335	NewStart CGSL MAIN 4.05：mercurial 漏洞 (NS-SA-2019-0104)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	high
101091	CentOS 6 / 7 : mercurial (CESA-2017:1576)	Nessus	CentOS Local Security Checks	2017/6/29	2021/1/4	high
101273	Amazon Linux AMI：mercurial (ALAS-2017-856)	Nessus	Amazon Linux Local Security Checks	2017/7/7	2019/4/10	high

检测

插件搜索

high

critical

critical

high

high

high

high

high

high