BDU:2024-04877

Опубликовано: 31 янв. 2024

Источник: fstec

CVSS3: 7.7

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость системы управления конфигурациями и удалённого выполнения операций Salt связана с созданием URL-адресов, приводящее к обходу каталога на сервере. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Вендор

ООО «Ред Софт»

SaltStack, Inc

ООО «РусБИТех-Астра»

Наименование ПО

РЕД ОС

Salt

ПК «ALD Pro»

Версия ПО

7.3 (РЕД ОС)

до 3005.5 (Salt)

до 3006.6 (Salt)

до 3.2.0с (ПК «ALD Pro»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» ПК «ALD Pro» до 3.2.0с

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,7)

Возможные меры по устранению уязвимости

Для Salt:

https://saltproject.io/security-announcements/2024-01-31-advisory/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ПК «ALD Pro»: Обновление программного обеспечения, применение оперативного обновления ПК «ALD Pro» 3.2.0с, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-22232
CVE

EPSS

Процентиль: 58%

0.00837

Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

ROS-20240625-05

CVSS3: 7.7

redos

больше 2 лет назад

Множественные уязвимости salt

ALT-PU-2024-4288

CVSS3: 7.7

altlinux

больше 2 лет назад

ALT-PU-2024-4288: package `salt` update to version 3007.0-alt0.p10.1

ALT-PU-2024-2460

CVSS3: 7.7

altlinux

больше 2 лет назад

ALT-PU-2024-2460: package `salt` update to version 3006.6-alt1

CVE-2024-22232

CVSS3: 7.7

ubuntu

больше 2 лет назад

A specially crafted url can be created which leads to a directory traversal in the salt file server. A malicious user can read an arbitrary file from a Salt master’s filesystem.

CVE-2024-22232

CVSS3: 7.7

nvd

больше 2 лет назад

A specially crafted url can be created which leads to a directory traversal in the salt file server. A malicious user can read an arbitrary file from a Salt master’s filesystem.

EPSS

Процентиль: 58%

0.00837

Низкий

7.7 High

CVSS3

6.8 Medium

CVSS2