BDU:2024-05787

Опубликовано: 17 апр. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки go-getter оркестратора приложений Nomad связана с неправильной нейтрализацией разделителей аргументов в команде. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отформатировать URL-адрес Git, чтобы внедрить дополнительные аргументы Git в вызов Git

Вендор

ООО «Ред Софт»

HashiCorp

Наименование ПО

РЕД ОС

go-getter

Версия ПО

7.3 (РЕД ОС)

от 1.5.9 до 1.7.4 (go-getter)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для HashiCorp:

https://discuss.hashicorp.com/t/hcsec-2024-09-hashicorp-go-getter-vulnerable-to-argument-injection-when-fetching-remote-default-git-branches/66040

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-3817
CVE

EPSS

Процентиль: 78%

0.01134

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240718-02

CVSS3: 9.8

redos

больше 1 года назад

Уязвимость nomad

CVE-2024-3817

CVSS3: 9.8

ubuntu

почти 2 года назад

HashiCorp’s go-getter library is vulnerable to argument injection when executing Git to discover remote branches. This vulnerability does not affect the go-getter/v2 branch and package.

CVE-2024-3817

CVSS3: 9.8

nvd

почти 2 года назад

HashiCorp’s go-getter library is vulnerable to argument injection when executing Git to discover remote branches. This vulnerability does not affect the go-getter/v2 branch and package.

CVE-2024-3817

CVSS3: 9.8

msrc

больше 1 года назад

Описание отсутствует

CVE-2024-3817

CVSS3: 9.8

debian

почти 2 года назад

HashiCorp\u2019s go-getter library is vulnerable to argument injection ...

EPSS

Процентиль: 78%

0.01134

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2