This update for git-annex to version 6.20180626 fixes the following issues :

  - CVE-2018-10857: Prevent file content disclosure by     refusing to download content that cannot be verified     with a hash, from encrypted special remotes and glacier     (bsc#1098062).

  - CVE-2018-10859: Prevent local gpg encrypted file     disclosure by refusing to download content that cannot     be verified with a hash, from encrypted special remotes     (bsc#1098364).

This update brings many other bug fixes and new features.
http://hackage.haskell.org/package/git-annex-6.20180626/changelog has a detailed list of changes.

このgit-annexのバージョン6.20180626への更新では、次の問題を修正します：

  - CVE-2018-10857：暗号化された特別なリモートおよびglacierから、ハッシュで検証できないコンテンツのダウンロードを拒否することにより、ファイルコンテンツの漏洩を防止します（bsc#1098062）。

  - CVE-2018-10859：暗号化された特別なリモートから、ハッシュで検証できないコンテンツのダウンロードを拒否することにより、ローカルgpg暗号化ファイルの漏洩を防止します（bsc#1098364）。

この更新では、その他の多くのバグ修正と新機能が提供されます。
http://hackage.haskell.org/package/git-annex-6.20180626/changelogに詳細な変更のリストがあります。

Update to 6.20180626 Security fix for CVE-2018-10857 and CVE-2018-10859

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

git-annex 程序包中发现多个漏洞，在操作未受信任的数据时可能会造成任意命令执行和加密数据渗漏。CVE-2017-12976 git-annex 6.20170818 之前版本中，远程攻击者通过主机名中带有初始短划线字符的 ssh URL，可能会造成执行任意命令，这一点已由 ssh://-eProxyCommand= URL 证实，此问题与 CVE-2017-9800、CVE-2017-12836、CVE-2017-1000116 和 CVE-2017-1000117 有关。CVE-2018-10857 git-annex 容易受到私有数据泄露和渗漏攻击。此漏洞可能会泄露位于 git-annex 存储库以外的文件内容，或来自于本地主机或 LAN 上的私有 web 服务器中的内容。CVE-2018-10859 git-annex 在解密文件时，容易受到信息泄露攻击。恶意的特定远程服务器可能会诱骗 git-annex 解密通过用户 gpg 密钥加密的文件。此攻击可用于泄露 git-annex 中从未存储过的加密数据 对于 Debian 8“Jessie”，这些问题已在 5.20141125+oops-1+deb8u2 版本中修复。建议您升级 git-annex 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

6.20180626への更新、CVE-2018-10857とCVE-2018-10859のセキュリティ修正

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

git-annexバージョン6.20180626への更新プログラムでは、以下の問題が修正されています：

  - CVE-2018-10857：暗号化された特別なリモートおよびglacierから、ハッシュで検証できないコンテンツのダウンロードを拒否することにより、ファイルコンテンツの漏洩を防止します（bsc#1098062）。

  - CVE-2018-10859：暗号化された特別なリモートから、ハッシュで検証できないコンテンツのダウンロードを拒否することにより、ローカルgpg暗号化ファイルの漏洩を防止します（bsc#1098364）。

この更新では、その他の多くのバグ修正と新機能が提供されます。
http://hackage.haskell.org/package/git-annex-6.20180626/changelogに詳細な変更のリストがあります。

The git-annex package was found to have multiple vulnerabilities when operating on untrusted data that could lead to arbitrary command execution and encrypted data exfiltration.

CVE-2017-12976

git-annex before 6.20170818 allows remote attackers to execute arbitrary commands via an ssh URL with an initial dash character in the hostname, as demonstrated by an ssh://-eProxyCommand= URL, a related issue to CVE-2017-9800, CVE-2017-12836, CVE-2017-1000116, and CVE-2017-1000117.

CVE-2018-10857

git-annex is vulnerable to a private data exposure and exfiltration attack. It could expose the content of files located outside the git-annex repository, or content from a private web server on localhost or the LAN.

CVE-2018-10859

git-annex is vulnerable to an Information Exposure when decrypting files. A malicious server for a special remote could trick git-annex into decrypting a file that was encrypted to the user's gpg key. This attack could be used to expose encrypted data that was never stored in git-annex

For Debian 8 'Jessie', these problems have been fixed in version 5.20141125+oops-1+deb8u2.

We recommend that you upgrade your git-annex packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

據發現，git-annex 套件在處理不受信任的資訊時存在多個弱點，這可能導致任意命令執行和加密資料洩漏。CVE-2017-12976 6.20170818 之前的 git-annex 可讓遠端攻擊者透過主機名稱中帶有開頭連字號字元的 ssh URL 執行任意命令，如 ssh://-eProxyCommand= URL 所示，這是 CVE-2017-9800、CVE-2017-12836、CVE-2017-1000116 及 CVE-2017-1000117 的相關問題。CVE-2018-10857 git-annex 容易發生私人資料洩漏和外洩攻擊。這可能會暴露 git-annex 存放庫外的檔案內容或 localhost 或 LAN 上私人網頁伺服器上的內容。CVE-2018-10859 git-annex 在解密檔案時，容易發生資訊洩漏。特殊遠端的惡意伺服器可誘騙 git-annex 解密利用使用者 gpg 金鑰加密的檔案。此攻擊可被利用來暴露從未儲存在 git-annex 中的加密資料。針對 Debian 8「Jessie」，這些問題已在 5.20141125+oops-1+deb8u2 版本中修正。建議您升級 git-annex 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

git-annexパッケージには、信頼できないデータを操作する際に、任意のコマンド実行や暗号化されたデータの漏洩を引き起こす可能性がある複数の脆弱性があることが見つかりました。

CVE-2017-12976

6.20170818以前のgit-annexにより、リモートの攻撃者は、ホスト名の最初のダッシュ文字でsshのURLを経由して任意のコマンドを実行する可能性があります。これは、ssh: //-eProxyCommand= URLにより実行され、CVE-2017-9800、CVE-2017-12836、CVE-2017-1000116、および CVE-2017-1000117に関連する問題です。

CVE-2018-10857

git-annexは、プライベートデータの漏洩および抜き取り攻撃に脆弱です。git-annexリポジトリの外部にあるファイルのコンテンツや、ローカルホストまたはLAN上のプライベートWebサーバーのコンテンツが漏洩する可能性があります。

CVE-2018-10859

git-annexは、ファイルを復号する際の情報漏洩に脆弱です。特別なリモートの悪意のあるサーバーが、git-annexを不正に操作して、ユーザーのgpgキーに対して暗号化されたファイルを復号化させる可能性があります。この攻撃が、git-annexに決して保存されない暗号化されたデータの漏洩に利用される可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン5.20141125+oops-1+deb8u2で修正されました。

git-annexパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
123205	openSUSE Security Update : git-annex (openSUSE-2019-497)	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/11	high
123205	openSUSEセキュリティ更新プログラム：git-annex（openSUSE-2019-497）	Nessus	SuSE Local Security Checks	2019/3/27	2024/6/11	high
110937	openSUSE Security Update : git-annex (openSUSE-2018-697)	Nessus	SuSE Local Security Checks	2018/7/6	2024/9/6	high
111015	Fedora 27 : git-annex (2018-7e8c49a451)	Nessus	Fedora Local Security Checks	2018/7/12	2024/9/5	high
117296	Debian DLA-1495-1：git-annex 安全更新	Nessus	Debian Local Security Checks	2018/9/6	2024/8/12	high
111015	Fedora 27：git-annex（2018-7e8c49a451）	Nessus	Fedora Local Security Checks	2018/7/12	2024/9/5	high
110937	openSUSEセキュリティ更新プログラム：git-annex（openSUSE-2018-697）	Nessus	SuSE Local Security Checks	2018/7/6	2024/9/6	high
120859	Fedora 28 : git-annex (2018-e22c8eb218)	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	high
117296	Debian DLA-1495-1 : git-annex security update	Nessus	Debian Local Security Checks	2018/9/6	2024/8/12	high
117296	Debian DLA-1495-1：git-annex - 安全性更新	Nessus	Debian Local Security Checks	2018/9/6	2024/8/12	high
120859	Fedora 28：git-annex（2018-e22c8eb218）	Nessus	Fedora Local Security Checks	2019/1/3	2024/6/28	high
117296	Debian DLA-1495-1: git-annexのセキュリティ更新	Nessus	Debian Local Security Checks	2018/9/6	2024/8/12	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high