После обновления SourceTree предупреждение о безопасности просит меня возобновить Mercurial

Question

Поскольку я обновился до SourceTree 1.9.5.0, мне часто напомнили обновить Mercurial с 3.2.3 до 3.7.3 из-за уязвимости безопасности. Я сделаю это в ближайшем будущем, но мне интересно узнать о природе уязвимости.

Answer 1

Это довольно легко узнать: посмотрите на веб-сайт mercurial. Если уязвимость исправлена ​​в 3.7.3 будет указано, есть: https://www.mercurial-scm.org/wiki/WhatsNew#Mercurial_3.7.3_.282016-3-29.29

Из изменений:

CVE-2016-3630 Mercurial: удаленное выполнение кода в двоичном дельта декодирования

ртутный перед к 3.7.3 содержались две ошибки проверки границ в его двоичном дельта-декодере, которые могут быть использованы через клон, push или pull.

CVE-2016-3068 Mercurial: выполнение произвольного кода с Git subrepos

Mercurial До 3.7.3 разрешенных URL-адресов для Git subrepos, что может привести к выполнению произвольного кода на клоне. Это дополнительный побочный эффект Git CVE-2015-7545. Сообщается Блейк Буркхарт.

CVE-2016-3069 Mercurial: выполнение произвольного кода при преобразовании Git репо

Mercurial до 3.7.3 разрешено выполнения произвольного кода при преобразовании Git репо с враждебными именами. Это может повлиять на услуги автоматического преобразования. Сообщается Блейк Буркхарт.

Answer 2

У меня тоже.

В SourceTree, перейдите Инструменты → Опции → Mercurial и просто нажмите Update Mercurial кнопку. Затем перезапустите SourceTree.