在SourceTree更新后，安全警告要求我續訂Mercurial

Question

自從我升級到SourceTree 1.9.5.0后，由於存在安全漏洞，我經常被提醒將Mercurial從3.2.3升級到3.7.3。 我將在不久的將來這樣做，但我很想知道漏洞的性質。

Answer 1

我也有。

在SourceTree中，轉到工具 → 選項 → Mercurial ，然后單擊更新Mercurial按鈕。 然后重啟SourceTree。

Answer 2

這很容易找到：看看mercurial網站。 如果漏洞在3.7.3中得到修復，將在那里說明： https ： //www.mercurial-scm.org/wiki/WhatsNew#Mercurial_3.7.3_.282016-3-29.29

來自更改日志：

CVE-2016-3630 Mercurial：二進制增量解碼中的遠程代碼執行

3.7.3之前的Mercurial在其二進制增量解碼器中包含兩個邊界檢查錯誤，可通過克隆，推送或拉取來利用。

CVE-2016-3068 Mercurial：使用Git子目錄執行任意代碼

3.7.3之前的Mercurial允許Git子版本的URL可能導致克隆上的任意代碼執行。 這是Git CVE-2015-7545的另一個副作用。 Blake Burkhart報道。

CVE-2016-3069 Mercurial：轉換Git repos時執行任意代碼

3.7.3之前的Mercurial允許在使用惡意名稱轉換Git repos時執行任意代碼。 這可能會影響自動轉換服務。 Blake Burkhart報道。