Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02693

Опубликовано: 11 мар. 2024
Источник: fstec
CVSS3: 6.3
CVSS2: 6.2
EPSS Низкий

Описание

Уязвимость пакетного менеджера Nix операционных систем Unix связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, модифицировать результаты вывода пакетов в Nix store

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Debian GNU/Linux
Nix

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
до 2.3.18 (Nix)
до 2.18.2 (Nix)
до 2.19.4 (Nix)
до 2.20.5 (Nix)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,2)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для пакетного менеджера Nix:
https://github.com/NixOS/nix/security/advisories/GHSA-2ffj-w4mj-pg37
https://github.com/NixOS/nix/commit/f8170ce9f119e5e6724eb81ff1b5a2d4c0024000
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-27297

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 19%
0.0006
Низкий

6.3 Medium

CVSS3

6.2 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.3
ubuntu
почти 2 года назад

Nix is a package manager for Linux and other Unix systems. A fixed-output derivations on Linux can send file descriptors to files in the Nix store to another program running on the host (or another fixed-output derivation) via Unix domain sockets in the abstract namespace. This allows to modify the output of the derivation, after Nix has registered the path as "valid" and immutable in the Nix database. In particular, this allows the output of fixed-output derivations to be modified from their expected content. This issue has been addressed in versions 2.3.18 2.18.2 2.19.4 and 2.20.5. Users are advised to upgrade. There are no known workarounds for this vulnerability.

CVSS3: 6.3
nvd
почти 2 года назад

Nix is a package manager for Linux and other Unix systems. A fixed-output derivations on Linux can send file descriptors to files in the Nix store to another program running on the host (or another fixed-output derivation) via Unix domain sockets in the abstract namespace. This allows to modify the output of the derivation, after Nix has registered the path as "valid" and immutable in the Nix database. In particular, this allows the output of fixed-output derivations to be modified from their expected content. This issue has been addressed in versions 2.3.18 2.18.2 2.19.4 and 2.20.5. Users are advised to upgrade. There are no known workarounds for this vulnerability.

CVSS3: 6.3
debian
почти 2 года назад

Nix is a package manager for Linux and other Unix systems. A fixed-out ...

EPSS

Процентиль: 19%
0.0006
Низкий

6.3 Medium

CVSS3

6.2 Medium

CVSS2