BDU:2024-06668

Опубликовано: 25 июн. 2024

Источник: fstec

CVSS3: 8.4

CVSS2: 8.3

EPSS Низкий

Описание

Уязвимость библиотеки Go Getter связана с обновлением Git для существующей вредоносно измененной конфигурации Git. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «Ред Софт»

HashiCorp

ООО «РусБИТех-Астра»

Наименование ПО

РЕД ОС

go-getter

Платформа контейнеризации «Боцман»

Версия ПО

7.3 (РЕД ОС)

1.7.0 до 1.7.3 (go-getter)

до 1.4.1 (Платформа контейнеризации «Боцман»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Платформа контейнеризации «Боцман» до 1.4.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,4)

Возможные меры по устранению уязвимости

Для go-getter:

https://discuss.hashicorp.com/t/hcsec-2024-13-hashicorp-go-getter-vulnerable-to-code-execution-on-git-update-via-git-config-manipulation/68081

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для платформы контейнеризации «Боцман»:

обновление программного обеспечения, применение оперативного обновления платформы контейнеризации «Боцман» 1.4.1, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-6257
CVE

EPSS

Процентиль: 59%

0.00973

Низкий

8.4 High

CVSS3

8.3 High

CVSS2

Связанные уязвимости

ROS-20240902-13

CVSS3: 8.4

redos

почти 2 года назад

Уязвимость terraform

CVE-2024-6257

CVSS3: 8.4

ubuntu

около 2 лет назад

HashiCorp’s go-getter library can be coerced into executing Git update on an existing maliciously modified Git Configuration, potentially leading to arbitrary code execution.

CVE-2024-6257

CVSS3: 7.7

redhat

около 2 лет назад

HashiCorp’s go-getter library can be coerced into executing Git update on an existing maliciously modified Git Configuration, potentially leading to arbitrary code execution.

CVE-2024-6257

CVSS3: 8.4

nvd

около 2 лет назад

HashiCorp’s go-getter library can be coerced into executing Git update on an existing maliciously modified Git Configuration, potentially leading to arbitrary code execution.

CVE-2024-6257

CVSS3: 8.4

msrc

почти 2 года назад

HashiCorp go-getter Vulnerable to Code Execution On Git Update Via Git Config Manipulation

EPSS

Процентиль: 59%

0.00973

Низкий

8.4 High

CVSS3

8.3 High

CVSS2