BDU:2024-05787

Опубликовано: 17 апр. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки go-getter оркестратора приложений Nomad связана с неправильной нейтрализацией разделителей аргументов в команде. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отформатировать URL-адрес Git, чтобы внедрить дополнительные аргументы Git в вызов Git

Вендор

ООО «Ред Софт»

HashiCorp

Наименование ПО

РЕД ОС

go-getter

Версия ПО

7.3 (РЕД ОС)

от 1.5.9 до 1.7.4 (go-getter)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для HashiCorp:

https://discuss.hashicorp.com/t/hcsec-2024-09-hashicorp-go-getter-vulnerable-to-argument-injection-when-fetching-remote-default-git-branches/66040

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-3817
CVE

EPSS

Процентиль: 31%

0.00117

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-3817

CVSS3: 9.8

ubuntu

около 1 года назад

HashiCorp’s go-getter library is vulnerable to argument injection when executing Git to discover remote branches. This vulnerability does not affect the go-getter/v2 branch and package.

CVE-2024-3817

CVSS3: 9.8

nvd

около 1 года назад

HashiCorp’s go-getter library is vulnerable to argument injection when executing Git to discover remote branches. This vulnerability does not affect the go-getter/v2 branch and package.

CVE-2024-3817

CVSS3: 9.8

msrc

около 1 года назад

Описание отсутствует

CVE-2024-3817

CVSS3: 9.8

debian

около 1 года назад

HashiCorp\u2019s go-getter library is vulnerable to argument injection ...

ROS-20240718-02

CVSS3: 9.8

redos

12 месяцев назад

Уязвимость nomad

EPSS

Процентиль: 31%

0.00117

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2