在SourceTree更新后，安全警告要求我续订Mercurial

Question

自从我升级到SourceTree 1.9.5.0后，由于存在安全漏洞，我经常被提醒将Mercurial从3.2.3升级到3.7.3。我将在不久的将来这样做，但我很想知道漏洞的性质。

Answer 1

我也有。

在SourceTree中，转到工具→选项→ Mercurial ，然后只需单击更新Mercurial 按钮。然后重启SourceTree。

Answer 2

很容易找到：看看mercurial网站。如果漏洞在3.7.3中得到修复，则会在那里说明：https://www.mercurial-scm.org/wiki/WhatsNew#Mercurial_3.7.3_.282016-3-29.29

来自更改日志：

  

CVE-2016-3630 Mercurial：二进制增量解码中的远程代码执行

     

3.7.3之前的Mercurial在其二进制增量解码器中包含两个边界检查错误，可通过克隆，推送或拉取来利用。

     

CVE-2016-3068 Mercurial：使用Git子目录执行任意代码

     

3.7.3之前的Mercurial允许Git子目录的URL可能导致克隆上的任意代码执行。这是Git CVE-2015-7545的另一个副作用。 Blake Burkhart报道。

     

CVE-2016-3069 Mercurial：转换Git repos时执行任意代码

     

3.7.3之前的Mercurial允许在使用恶意名称转换Git repos时执行任意代码。这可能会影响自动转换服务。 Blake Burkhart报道。